Redazione RHC : 17 Ottobre 2025 11:06
Il team di Google Threat Intelligence Group (GTIG) ha rilevato che il gruppo di minaccia nordcoreano identificato come UNC5342 ha adottato la tecnica nota come EtherHiding per distribuire malware e agevolare il furto di criptovalute.
Si tratta della prima osservazione documentata da GTIG in cui un attore legato a uno stato nazionale utilizza questo metodo. Il caso è descritto all’interno di una serie di analisi in due parti che esaminano come diversi avversari impieghino EtherHiding, una tecnica che sfrutta le blockchain pubbliche per conservare e recuperare payload malevoli, caratterizzata da elevata resilienza contro tentativi tradizionali di rimozione e blocco.
EtherHiding è emerso come elemento centrale a partire da settembre 2023 nella campagna finanziaria CLEARFAKE, collegata al cluster UNC5142. La tecnica prevede l’inserimento di codice dannoso – spesso sotto forma di JavaScript – all’interno di smart contract ospitati su blockchain pubbliche come Ethereum o BNB Smart Chain.
 Prova la Demo di Business Log! Adaptive SOC italiano Log management non solo per la grande Azienda, ma una suite di Audit file, controllo USB, asset, sicurezza e un Security Operation Center PERSONALE, che ti riporta tutte le operazioni necessarie al tuo PC per tutelare i tuoi dati e informati in caso di problemi nel tuo ambiente privato o di lavoro.
Scarica ora la Demo di Business Log per 30gg
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
In questo modo la blockchain diventa un canale di comando e controllo decentralizzato, difficile da rimuovere o neutralizzare.
La catena d’attacco tipica osservata combina tecniche di social engineering con l’uso di smart contract per il recupero del payload:
Questo approccio fornisce agli aggressori un’infrastruttura di distribuzione che sfrutta le proprietà di decentralizzazione, immutabilità e pseudonimia proprie delle blockchain.
EtherHiding presenta diversi vantaggi per chi la usa:
Queste caratteristiche rendono EtherHiding una forma di “hosting” difficilmente intervenibile con strumenti tradizionali di contrasto.
Dal febbraio 2025 GTIG ha monitorato l’adozione di EtherHiding da parte di UNC5342 nell’ambito di una campagna di ingegneria sociale in corso, definita “Contagious Interview” da Palo Alto Networks. In questa operazione gli aggressori hanno impiegato il downloader JADESNOW per fornire una variante in JavaScript della backdoor INVISIBLEFERRET, collegata a numerosi furti di criptovalute.
La campagna si rivolge in modo mirato a sviluppatori e figure tecniche nei settori crypto e tecnologico, proponendo offerte di lavoro fasulle o fasi di selezione che richiedono l’esecuzione di test tecnici. Le tattiche osservate includono:
JADESNOW è identificato come una famiglia di downloader in JavaScript con capacità di sfruttare EtherHiding per recuperare, decodificare ed eseguire payload memorizzati su smart contract su BNB Smart Chain ed Ethereum. I dati inseriti negli smart contract possono essere codificati in Base64 e cifrati con XOR. Nella catena d’infezione JADESNOW funge da ponte verso payload più persistenti, come la backdoor INVISIBLEFERRET.JAVASCRIPT.
Rispetto a CLEARFAKE (UNC5142), che spesso si maschera da finto aggiornamento del browser per indurre l’utente a cliccare e scaricare un payload di secondo stadio memorizzato sulla BNB Smart Chain, l’implementazione di JADESNOW e la sua gestione mostrano differenze operative. È stato osservato anche un uso contemporaneo di più blockchain (Ethereum e BNB Smart Chain) da parte di UNC5342, probabilmente come misura di compartimentazione operativa o per ottimizzare costi e resilienza.
La combinazione di tecniche di social engineering sofisticate e l’uso di infrastrutture blockchain per l’hosting dei payload rappresenta una sfida crescente per le contromisure tradizionali. La natura silente del recupero tramite eth_call, la possibilità di aggiornare il contenuto degli smart contract e l’assenza di un punto singolo di fallimento richiedono nuovi approcci investigativi e di mitigazione da parte di forze dell’ordine, provider di sicurezza e operatori di infrastrutture web.
RedazioneI XV Giochi Nazionali della Cina si sono aperti con uno spettacolo che ha unito sport e tecnologia. Tra i protagonisti, robot capaci di suonare antichi strumenti di bronzo, sistemi di intelligenza art...
Un worm auto-propagante, denominato IndonesianFoods, è stato scoperto in npm. Genera nuovi pacchetti ogni sette secondi. Secondo Sonatype, il malware ha già creato oltre 100.000 pacchetti e questo n...
Molti di noi sono cresciuti con Hiroshi Shiba, di Jeeg robot d’acciaio che parlava con il defunto padre, il Professor Senjiro Shiba, scienziato e archeologo all’interno di un grande elaboratore. I...
Il traffico globale, come sanno i lettori di RHC, viaggia per la maggior parte sotto il mare. Secondo TeleGeography, istituto specializzato nelle telecomunicazioni, nel mondo sono attivi più di 530 s...
Un’analisi condotta negli ultimi mesi aveva evidenziato come l’evoluzione dei sistemi di intelligenza artificiale stesse raggiungendo un punto critico per la sicurezza informatica, con capacità r...
