Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 17 Ottobre 2025 11:06
Il team di Google Threat Intelligence Group (GTIG) ha rilevato che il gruppo di minaccia nordcoreano identificato come UNC5342 ha adottato la tecnica nota come EtherHiding per distribuire malware e agevolare il furto di criptovalute.
Si tratta della prima osservazione documentata da GTIG in cui un attore legato a uno stato nazionale utilizza questo metodo. Il caso è descritto all’interno di una serie di analisi in due parti che esaminano come diversi avversari impieghino EtherHiding, una tecnica che sfrutta le blockchain pubbliche per conservare e recuperare payload malevoli, caratterizzata da elevata resilienza contro tentativi tradizionali di rimozione e blocco.
EtherHiding è emerso come elemento centrale a partire da settembre 2023 nella campagna finanziaria CLEARFAKE, collegata al cluster UNC5142. La tecnica prevede l’inserimento di codice dannoso – spesso sotto forma di JavaScript – all’interno di smart contract ospitati su blockchain pubbliche come Ethereum o BNB Smart Chain.
 Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)? Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
In questo modo la blockchain diventa un canale di comando e controllo decentralizzato, difficile da rimuovere o neutralizzare.
La catena d’attacco tipica osservata combina tecniche di social engineering con l’uso di smart contract per il recupero del payload:
Questo approccio fornisce agli aggressori un’infrastruttura di distribuzione che sfrutta le proprietà di decentralizzazione, immutabilità e pseudonimia proprie delle blockchain.
EtherHiding presenta diversi vantaggi per chi la usa:
Queste caratteristiche rendono EtherHiding una forma di “hosting” difficilmente intervenibile con strumenti tradizionali di contrasto.
Dal febbraio 2025 GTIG ha monitorato l’adozione di EtherHiding da parte di UNC5342 nell’ambito di una campagna di ingegneria sociale in corso, definita “Contagious Interview” da Palo Alto Networks. In questa operazione gli aggressori hanno impiegato il downloader JADESNOW per fornire una variante in JavaScript della backdoor INVISIBLEFERRET, collegata a numerosi furti di criptovalute.
La campagna si rivolge in modo mirato a sviluppatori e figure tecniche nei settori crypto e tecnologico, proponendo offerte di lavoro fasulle o fasi di selezione che richiedono l’esecuzione di test tecnici. Le tattiche osservate includono:
JADESNOW è identificato come una famiglia di downloader in JavaScript con capacità di sfruttare EtherHiding per recuperare, decodificare ed eseguire payload memorizzati su smart contract su BNB Smart Chain ed Ethereum. I dati inseriti negli smart contract possono essere codificati in Base64 e cifrati con XOR. Nella catena d’infezione JADESNOW funge da ponte verso payload più persistenti, come la backdoor INVISIBLEFERRET.JAVASCRIPT.
Rispetto a CLEARFAKE (UNC5142), che spesso si maschera da finto aggiornamento del browser per indurre l’utente a cliccare e scaricare un payload di secondo stadio memorizzato sulla BNB Smart Chain, l’implementazione di JADESNOW e la sua gestione mostrano differenze operative. È stato osservato anche un uso contemporaneo di più blockchain (Ethereum e BNB Smart Chain) da parte di UNC5342, probabilmente come misura di compartimentazione operativa o per ottimizzare costi e resilienza.
La combinazione di tecniche di social engineering sofisticate e l’uso di infrastrutture blockchain per l’hosting dei payload rappresenta una sfida crescente per le contromisure tradizionali. La natura silente del recupero tramite eth_call, la possibilità di aggiornare il contenuto degli smart contract e l’assenza di un punto singolo di fallimento richiedono nuovi approcci investigativi e di mitigazione da parte di forze dell’ordine, provider di sicurezza e operatori di infrastrutture web.
RedazioneCloudflare ha registrato un’interruzione significativa nella mattina del 5 dicembre 2025, quando alle 08:47 UTC una parte della propria infrastruttura ha iniziato a generare errori interni. L’inci...
Una campagna sempre più aggressiva, che punta direttamente alle infrastrutture di accesso remoto, ha spinto gli autori delle minacce a tentare di sfruttare attivamente le vulnerabilità dei portali V...
Dietro molte delle applicazioni e servizi digitali che diamo per scontati ogni giorno si cela un gigante silenzioso: FreeBSD. Conosciuto soprattutto dagli addetti ai lavori, questo sistema operativo U...
Molto spesso parliamo su questo sito del fatto che la finestra tra la pubblicazione di un exploit e l’avvio di attacchi attivi si sta riducendo drasticamente. Per questo motivo diventa sempre più f...
Dal 1° luglio, Cloudflare ha bloccato 416 miliardi di richieste da parte di bot di intelligenza artificiale che tentavano di estrarre contenuti dai siti web dei suoi clienti. Secondo Matthew Prince, ...
