Redazione RHC : 17 Ottobre 2025 11:06
Il team di Google Threat Intelligence Group (GTIG) ha rilevato che il gruppo di minaccia nordcoreano identificato come UNC5342 ha adottato la tecnica nota come EtherHiding per distribuire malware e agevolare il furto di criptovalute.
Si tratta della prima osservazione documentata da GTIG in cui un attore legato a uno stato nazionale utilizza questo metodo. Il caso è descritto all’interno di una serie di analisi in due parti che esaminano come diversi avversari impieghino EtherHiding, una tecnica che sfrutta le blockchain pubbliche per conservare e recuperare payload malevoli, caratterizzata da elevata resilienza contro tentativi tradizionali di rimozione e blocco.
EtherHiding è emerso come elemento centrale a partire da settembre 2023 nella campagna finanziaria CLEARFAKE, collegata al cluster UNC5142. La tecnica prevede l’inserimento di codice dannoso – spesso sotto forma di JavaScript – all’interno di smart contract ospitati su blockchain pubbliche come Ethereum o BNB Smart Chain.
 CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub.
Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
In questo modo la blockchain diventa un canale di comando e controllo decentralizzato, difficile da rimuovere o neutralizzare.
La catena d’attacco tipica osservata combina tecniche di social engineering con l’uso di smart contract per il recupero del payload:
Questo approccio fornisce agli aggressori un’infrastruttura di distribuzione che sfrutta le proprietà di decentralizzazione, immutabilità e pseudonimia proprie delle blockchain.
EtherHiding presenta diversi vantaggi per chi la usa:
Queste caratteristiche rendono EtherHiding una forma di “hosting” difficilmente intervenibile con strumenti tradizionali di contrasto.
Dal febbraio 2025 GTIG ha monitorato l’adozione di EtherHiding da parte di UNC5342 nell’ambito di una campagna di ingegneria sociale in corso, definita “Contagious Interview” da Palo Alto Networks. In questa operazione gli aggressori hanno impiegato il downloader JADESNOW per fornire una variante in JavaScript della backdoor INVISIBLEFERRET, collegata a numerosi furti di criptovalute.
La campagna si rivolge in modo mirato a sviluppatori e figure tecniche nei settori crypto e tecnologico, proponendo offerte di lavoro fasulle o fasi di selezione che richiedono l’esecuzione di test tecnici. Le tattiche osservate includono:
JADESNOW è identificato come una famiglia di downloader in JavaScript con capacità di sfruttare EtherHiding per recuperare, decodificare ed eseguire payload memorizzati su smart contract su BNB Smart Chain ed Ethereum. I dati inseriti negli smart contract possono essere codificati in Base64 e cifrati con XOR. Nella catena d’infezione JADESNOW funge da ponte verso payload più persistenti, come la backdoor INVISIBLEFERRET.JAVASCRIPT.
Rispetto a CLEARFAKE (UNC5142), che spesso si maschera da finto aggiornamento del browser per indurre l’utente a cliccare e scaricare un payload di secondo stadio memorizzato sulla BNB Smart Chain, l’implementazione di JADESNOW e la sua gestione mostrano differenze operative. È stato osservato anche un uso contemporaneo di più blockchain (Ethereum e BNB Smart Chain) da parte di UNC5342, probabilmente come misura di compartimentazione operativa o per ottimizzare costi e resilienza.
La combinazione di tecniche di social engineering sofisticate e l’uso di infrastrutture blockchain per l’hosting dei payload rappresenta una sfida crescente per le contromisure tradizionali. La natura silente del recupero tramite eth_call, la possibilità di aggiornare il contenuto degli smart contract e l’assenza di un punto singolo di fallimento richiedono nuovi approcci investigativi e di mitigazione da parte di forze dell’ordine, provider di sicurezza e operatori di infrastrutture web.
RedazioneQuesta mattina Paragon Sec è stata contattata da un’azienda italiana vittima di un nuovo tentativo di frode conosciuto come Truffa del CEO. L’ufficio contabilità ha ricevuto un’e-mail urgente,...
i ricercatori di Check Point Software, hanno recentemente pubblicato un’indagine sull’aumento delle truffe farmaceutiche basate sull’intelligenza artificiale. È stato rilevato come i criminali ...
L’Agenzia dell’Unione europea per la sicurezza informatica (ENISA) ha assunto il ruolo di Root all’interno del programma Common Vulnerabilities and Exposures (CVE), diventando il principale punt...
Il progetto Tor ha annunciato l’introduzione di un nuovo schema di crittografia, chiamato Counter Galois Onion (CGO), destinato a sostituire il precedente metodo Tor1 Relay. L’aggiornamento mira a...
L’attuale accelerazione normativa in materia di cybersicurezza non è un fenomeno isolato, ma il culmine di un percorso di maturazione del Diritto penale che ha dovuto confrontarsi con la dematerial...
