Una transferencia de criptomonedas aparentemente accidental resultó ser un mensaje oculto de hackers: análisis de la técnica NullReceiver

Los grupos cibernéticos norcoreanos llevan tiempo buscando una forma de ocultar la dirección del servidor de control de modo que no pueda ser ni rastreada ni bloqueada, y ahora para ello utilizan una transferencia monetaria ordinaria en criptomoneda que a primera vista parece completamente vacía: la suma es nula y no contiene datos adjuntos. Lo único que importa en esa transacción es la dirección del destinatario, y es en ella donde se oculta la dirección IP del servidor de mando.

Paul McCarthy, que publica bajo el seudónimo 6mile, descubrió esta técnica en la cadena de bloques Ethereum. La técnica fue llamada NullReceiver y está integrada en dos paquetes maliciosos npm — bianira-ui y fluid-type-ui — disfrazados de complementos legítimos de Tailwind CSS. Los paquetes se relacionan con la campaña norcoreana Contagious Interview, conocida por ataques a desarrolladores mediante tareas de prueba falsas durante la contratación.

Antes, los atacantes norcoreanos usaban un esquema similar llamado EtherHiding: la transacción se enviaba a una conocida «dirección de quema» de tokens, y la dirección del servidor de mando o incluso un script malicioso completo se ocultaba en el campo de datos de la transacción. La debilidad de ese esquema es que la dirección de destino siempre es la misma y es bien conocida por los especialistas.

NullReceiver elimina esta deficiencia. El código malicioso consulta una billetera de los atacantes conocida de antemano, encuentra su última transacción saliente y lee la dirección del destinatario. Esa dirección nunca estuvo destinada a recibir fondos: se construyó artificialmente para que sus bytes, al decodificarse, se convirtieran en la dirección IP del servidor de control. En la muestra detectada, la dirección del destinatario se decodificó como la IP 166.88.134.62, y al final de la misma dirección se encontró la cadena "helloipbot!!", dejada por los autores como una especie de firma.

Con ese esquema no hay una dirección permanente que se pueda rastrear de antemano; la transacción no contiene datos que se puedan identificar por rasgos formales, y el propio envío es el más barato en cuanto a comisión posible en la red.

Por ello, la detección automática temprana se vuelve prácticamente imposible: solo se puede sospechar algo después de que el paquete malicioso ya ha sido encontrado y analizado. La contrapartida es que la billetera de los atacantes desde la cual se realizan estas transferencias se reutiliza en distintas campañas, por lo que tras el primer hallazgo se puede seguir su rastreo, como antes se hacía con la dirección de quema en EtherHiding.

McCarthy señala que los operadores norcoreanos complican regularmente sus herramientas tan pronto como la versión anterior aparece en informes públicos, y espera que NullReceiver se convierta pronto en el método principal de control oculto en estas campañas de npm en lugar de EtherHiding.

Se pueden reducir los riesgos comprobando el origen y la reputación de los paquetes npm antes de instalarlos, así como monitorizando las conexiones de red a direcciones IP y billeteras indicadas como indicadores de compromiso.