## 惡意npm攻擊再進化！駭客利用區塊鏈隱藏C2位址

- 種別: news
- 関連技術: nodejs, github
- 公開日時: 2026-08-31T06:23:00.000Z
- 情報源: TWCERT/CC 資安新聞 (https://www.twcert.org.tw/tw/cp-104-11169-7cb52-1.html)
- パーマリンク: https://vulnpulse.app/items/twcert-news-24b74c2fb111

資安社群平臺OpenSourceMalware近期發現兩個遭植入木馬的npm套件「bianira-ui」與「fluid-type-ui」，其攻擊流程不同於傳統的EtherHiding資料隱匿方式，研究人員將這項技術命名為 NullReceiver，並認為此次攻擊可能與北韓駭客組織相關。EtherHiding屬於一種Dead Drop Resolver（DDR）技術，是指攻擊者將惡意中繼站（C2）放置在合法的第三方平台（如GitHub、Pastebin等），若攻擊者選擇將C2資訊隱藏於區塊鏈上，則被稱為EtherHiding。 「EtherHiding」一詞最早由Guardio Labs於2023年10月提出，Google也在 2025年10月的官方報告中指出，發現國家級攻擊組織開始採用這項手法，並將相關活動歸因於北韓背景的攻擊者。 傳統的EtherHiding手法，通常是將攻擊者欲隱藏的惡意指令或C2寫入區塊鏈交易的 input data欄位中，藉此利用區塊鏈資料的公開性及持久性隱藏惡意內容。這次出現的NullReceiver則採取不同的做法，直接將欲隱藏的資料放在交易的接收者的地址（receiver）地址內，使攻擊者能利用交易地址欄位傳遞攻擊所需資料，進一步增加惡意資訊的辨識及封鎖難度。 研究人員進一步分析 NullReceiver 的運作方式發現，攻擊者錢包（0xA65886…