LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben eine neue Variante der Blockchain-gestützten Kommando-und-Kontroll-Technik EtherHiding. Die beiden trojanisierten npm-Pakete „bianira-ui“ und „fluid-type-ui“ verstecken die C2-IP nicht in Transaktionsdaten, sondern in der Zieladresse einer leerem Ethereum-Überweisung. Statt einer festen, wiedererkennbaren Destination setzt NullReceiver auf eine nicht-existierende „Throwaway“-Adresse, die nur als Träger für wenige Bytes dient. Damit sinkt für Angreifer sowohl die Transaktionsauffälligkeit als auch die Kostenbasis für die Kommunikation.
Was bei EtherHiding noch klar nach Verfolgungsarbeit roch, wird mit NullReceiver deutlich schwerer greifbar: Die Forscher berichten von einer Weiterentwicklung, bei der die Kommando-und-Kontroll-(C2)-Server-IP nicht mehr wie bisher in einem Smart-Contract oder in den Transaktionsdaten (Calldata) „mitgeschmuggelt“ wird. Stattdessen dekodiert die Malware die IP-Adresse aus den Byte-Werten einer scheinbar sinnlosen Ethereum-Transfer-Zieladresse. Genau diese Verschiebung verändert die Sichtbarkeit für Verteidiger, denn sie entfernt ein zentrales Detektionsanker-Muster aus der Transaktion: die Kombination aus wiederkehrender Destination oder eindeutig instrumentierten Feldern.
Im Zentrum der neuen Beobachtung stehen zwei inzwischen vom npm-Registry-Download entfernte Pakete: „bianira-ui“ und „fluid-type-ui“. Laut den angegebenen Downloadzahlen wurden „bianira-ui“ 109-mal und „fluid-type-ui“ 587-mal bezogen, nachdem beide am 28. Juli 2026 erstmals veröffentlicht wurden. Die Zuordnung des Musters wird mit Nordkorea in Verbindung gebracht; parallel wird der größere Kontext genannt, dass ähnliche Blockchain-Techniken bereits in Verbindung mit einer länger laufenden Social-Engineering-Kampagne namens Contagious Interview diskutiert wurden. Dort werden Zielpersonen über LinkedIn mit vermeintlich attraktiven Jobangeboten angesprochen, um sie zu einer Bewertung zu bewegen, die schließlich die Malware-Deployments ermöglicht.
Technisch ist NullReceiver als „dead drop resolver“ beschrieben: Der Schadcode kennt zunächst eine hart codierte Angreifer-Wallet, hier als „0xa322e5f3d311d3080e6f0121063e9adc2490ef1a“. Von dieser Wallet sucht die Malware die zuletzt abgehende Transaktion, liest daraus das „To“-Ziel (also die Zieladresse), und gewinnt die C2-IP aus den ersten vier Bytes dieser Adresse. Dabei wird die Codierung explizit als Umwandlung der Bytefolge aus der hexadezimalen Darstellung in den numerischen IP-Teil erklärt; im Beispiel ergibt das „166.88.134[.]62“. Die übrigen Bytes tragen zusätzlich einen ASCII-String, der im Bericht als „helloipbot!!“ identifiziert wird. Besonders wichtig: Die Malware setzt laut Beschreibung weder einen Smart Contract ein noch nutzt sie das Calldata-Feld, was die Auswertung für Verteidiger um eine Kategorie reduziert, die man bei EtherHiding noch gezielt prüfen konnte.
OpenSourceMalware ordnet NullReceiver dabei als „deliberate improvement on EtherHiding“ ein. Entscheidend ist, dass EtherHiding eine feste, öffentlich nachverfolgbare Destination benötigte, die bei jedem neuen Gas-Fee-Event erneut mit Payload-Inhalt oder C2-spezifischen Informationen „gefüttert“ werden musste. NullReceiver wählt hingegen einen nicht-existierenden Zielwert, der nur als Träger für Codierungsbytes dient. Aus Verteidigungssicht wird damit die klassische Heuristik „fixe, watchbare Destination“ entkernt: Verteidiger sehen nicht länger zuverlässig dieselbe Adresse, an der sich neue Transaktionen bündeln. Genau diese Abkopplung nennt auch die Beschreibung: „NullReceiver never reuses a destination“, so wird es von OpenSourceMalware formuliert; jede Lookup-Transaktion soll eine frische, wegwerfartige Adresse verwenden, die „nie zuvor gesehen“ wurde.
Dass das Muster zusätzlich „kostengünstiger und weniger auffällig“ sein soll, hängt an der Art der Datenübertragung. Im Bericht wird EtherHiding direkt mit der Gas-Abrechnung pro Calldata-Byte verknüpft: Calldata kostet Gas pro Byte, NullReceiver dagegen setzt auf eine komplett leere Überweisung – also ohne extra Felder, die Bits transportieren müssen. Das ist für Angreifer operativ attraktiv, weil die Transaktion nicht nur schwerer zu fingerprinten ist, sondern auch in der Transaktionsform möglichst generisch bleibt. Paul McCarty bringt den technischen Kern in einer direkten Aussage auf den Punkt: „Instead of hardcoding a C2 address or hiding it in transaction calldata (as in EtherHiding), NullReceiver encodes the C2 IP directly in the bytes of the recipient address of a zero-value, zero-data Ethereum transfer“. Die Logik dahinter folgt dem Schema, das der Bericht ebenfalls aufzählt: Wallet-Wahl fix, jüngste Outbound-Transaktion ermitteln, Zieladresse dekodieren, IP kontaktieren.
Für die konkrete Attribution und das „Durchrechnen“ der Beispielbeobachtung liefert der Text ungewöhnlich viele Anker: Der Wallet-Verlauf zeigt, dass das „To“-Ziel bei den genannten Transaktionen gleich bleibt, „0xa658863ea658863e68656c6c6f6970626f742121“. Während der vordere Teil „a658863e“ in den IP-Wert übersetzt wird, repräsentieren die nachfolgenden Bytefolgen den ASCII-String „helloipbot!!.“. Außerdem werden 68 Transaktionen seit dem 27. Juli 2026 beschrieben, also einen Tag vor der Veröffentlichung der npm-Pakete. Diese zeitliche Nähe deutet darauf hin, dass Angreifer das „Resolver“-Gerüst bereits vorab mit passenden Wallet- und Transaktionsmustern vorbereitet haben könnten, bevor die Pakete im npm-Ökosystem auftauchten.
Für Unternehmen und Security-Teams ist die nächste Herausforderung weniger das einzelne Paket, sondern die Detection-Strategie im Zusammenspiel aus Paket-Supply-Chain und Blockchain-Telemetrie. Da die C2-IP nicht mehr in Smart-Contract-Interaktionen oder Calldata-Pattern greifbar ist, müssen Beobachtungen stärker auf das Verhalten auf Endpoint-Ebene fokussieren: Welche Bibliotheken werden geladen, wie wird die Wallet-Referenz verarbeitet, und welche Netzwerkziele entstehen dynamisch aus „To“-Adressbytes? Daneben bleibt wichtig, dass npm-Provider- und Dependency-Management-Prozesse die betroffenen Releases schnell ausrollen und blocken. Der Bericht macht zudem deutlich, dass Angreifer nicht zwingend vollständige URL- oder Script-Strings übertragen können: NullReceiver kann nur wenige Bytes codieren. Das schränkt die Komplexität pro Transaktion ein, reicht aber offenbar, um die zentrale Kommunikationsadresse umzusetzen – und genau diese Engstelle ist für Verteidiger oft leichter zu übersehen als für Angreifer.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NullReceiver: Trojanisierte npm-Pakete dekodieren C2-IP aus Ethereum-Zieladresse" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NullReceiver: Trojanisierte npm-Pakete dekodieren C2-IP aus Ethereum-Zieladresse" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NullReceiver: Trojanisierte npm-Pakete dekodieren C2-IP aus Ethereum-Zieladresse« bei Google Deutschland suchen, bei Bing oder Google News!