攻击者利用Web3与区块链C2隐藏供应链攻击，瞄准云凭证

FreeBuf

2026年10月9日 18:00
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

威胁行为者正越来越多地将公共区块链网络用作软件供应链恶意软件的命令与控制（C2）层，无需修改已在开发者系统上运行的恶意代码，即可轮换攻击基础设施。

这种方式为攻击者提供了高韧性的通信通道，可将已感染的恶意包导向新的数据窃取服务器，同时大幅降低传统域名黑名单的拦截效果。对云业务占比较高的组织而言，这一风险尤为严峻。

遭投毒的开源包可在开发者笔记本与CI/CD流水线中运行，窃取临时云身份令牌、部署密钥、服务账号密钥、GitHub凭证等高价值数据。

近期针对ChainDrop npm蠕虫的调查显示，攻击者一旦攻陷可信发布通道，就能将普通的依赖更新、项目配置变为窃取凭证的入口。

Unit 42分析师确认，ChainDrop是一款具备自我传播能力的npm蠕虫，已累计感染超过400个软件包。

研究人员发现，该蠕虫会收集开发者环境中存储的云凭证、npm与GitHub令牌、SSH密钥、Kubernetes令牌、Terraform状态文件、Vault令牌及各类密钥。

它还会扫描GitHub Actions运行器进程的内存，窃取短期有效的OpenID Connect（OIDC）令牌与运行器密钥。

Part01

区块链C2重构通信模式

在常规恶意软件攻击活动中，攻击者会在恶意代码内硬编码域名或IP地址。这会给防守方留下明确的拦截目标：安全团队可以封禁对应地址，域名注册商可以暂停相关域名解析，软件包平台也可通过扫描代码识别这类特征。

区块链C2彻底改变了这种模式。恶意软件不再内置固定C2地址，而是在运行时查询智能合约或区块链交易，获取当前活跃的C2目的地地址。

ChainDrop就通过以太坊智能合约实现了这种机制。Unit 42表示，该蠕虫会查询智能合约获取数据窃取所用的服务器地址，攻击者仅需发起一笔以太坊交易，就将C2地址从npm-cache[.]com切换为awqhnjewqjkl[.]icu。

整个切换过程无需攻击者重新发布软件包，也无需向受害者设备推送新版恶意代码。安全行业通常将这种技术称为EtherHiding。

这并非区块链本身存在恶意，而是攻击者滥用其公开、去中心化的设计特性，将其作为地址簿、载荷存储点或秘密数据中转服务。

此前一份针对EtherHiding恶意载荷投递的报告显示，智能合约可返回经过编码的JavaScript载荷，攻击者无需修改已被攻陷的网站，就能更换投递的恶意内容。

Part02

ChainDrop瞄准开发流程

ChainDrop的感染链始于被篡改的npm包，包内内置preinstall命令。该命令会启动setup.mjs脚本：如果设备上没有合法的Bun JavaScript运行时，脚本会先下载该运行时，再通过它执行混淆后的恶意载荷。攻击者并未攻陷Bun本身，只是利用这款合法运行时执行自身的恶意代码。

恶意软件激活后，会扫描本地文件、环境变量与云元数据服务查找凭证。它还会检查正在运行的构建进程，这一点十分重要，因为CI/CD系统通常使用不会写入磁盘的临时凭证。

这类令牌在有效期内，可让攻击者直接访问云API、部署环境或源代码系统。

ChainDrop还会通过开发者工具建立持久化机制。它会写入一个在文件夹打开时自动运行的VS Code任务，同时添加Claude Code SessionStart钩子。

这意味着开发者只要打开项目，或是启动AI编码会话，就可能触发恶意软件。研究人员在覆盖范围更广的ChainDrop攻击活动中，也发现了开发者工具配置暴露带来的同类风险：受信任的本地项目文件沦为了恶意代码的执行通道。

Part03

攻击模式向多生态扩散

名为PolinRider的另一波攻击活动表明，这种攻击模式已不再局限于npm生态。研究人员判断该活动与朝鲜背景的攻击者存在关联，已在npm、Packagist、Go modules及Chrome扩展中发现其恶意加载器。

这些恶意加载器通过区块链，以及连接TRON、Aptos、BNB Smart Chain的公共RPC服务，获取加密的后续恶意载荷。

该活动将恶意代码隐藏在多数开发者看来十分普通的文件中，包括vite.config.js、伪造的.woff2字体文件以及.vscode/tasks.json。

这种隐蔽方式的威胁在于，多数依赖扫描工具仅检测包清单与锁文件，不会覆盖编辑器配置、工作区自动化脚本或代码仓库配置文件。

此前针对隐藏JavaScript加载器的攻击活动分析也显示，PolinRider正是利用这类文件投递DEV#POPPER与OmniStealer恶意载荷。

对防守方而言，如果企业本身没有Web3相关业务需求，那么构建运行器、开发者终端产生的区块链流量，就属于值得重点关注的异常信号。

安全团队应审计包生命周期脚本，检查仓库配置文件。同时要隔离CI运行器，严格限制构建系统的出站连接。所有受影响主机可访问的凭证，都要及时轮换。

入侵指标（IoCs）：

注： 文中IP地址与域名均已做去活化处理（例如将.替换为[.]），避免意外解析或跳转。请仅在MISP、VirusTotal或内部SIEM等受控威胁情报平台内还原地址。

参考来源：

Hackers Use Web3 and Blockchain C2 to Hide Supply Chain Attacks Targeting Cloud Credentials

https://cybersecuritynews.com/hackers-use-web3/

推荐阅读

电报讨论