Связанная с КНДР группировка прячет адреса командных серверов в переводах Ethereum

Заражение начинается с сообщения в Telegram о вакансии. Кандидату предлагают репозиторий на GitHub или пакет в реестре NPM (публичное хранилище библиотек для программистов), где спрятан небольшой загрузчик. Дальше в дело вступают четыре блокчейна, и у каждого своя задача. Сети TRON и Aptos служат указателем: заражённая машина узнаёт из них, какую транзакцию ей искать в сети BSC. В той транзакции лежит зашифрованный код следующей ступени. Новый приём подключает Ethereum. Из адреса получателя в переводе программа вычитывает шесть байтов и собирает из них адрес сервера и номер порта. Остальные байты хранят второй адрес и заполнитель. Счёт получателя выдуман, ключа от него нет ни у кого, а суммы переводов равны нулю либо не превышают долей эфира.

Кампанию по данным Ransom-ISAC отслеживают с октября 2025 года и приписывают оператору, связанному с КНДР. За 90 дней наблюдений аналитики зафиксировали 2 655 исходящих переводов с одного кошелька. Первый прошёл 23 июня 2026 года, последний в выборке - 21 сентября. За это время адрес сервера менялся четыре раза. Два последних варианта отличались одной цифрой: прежний адрес сменился почти таким же. Такой сдвиг трудно заметить при ручной проверке, и он обходит списки блокировок, где остался предыдущий вариант. Ту же технику независимо описали в проекте OpenSourceMalware, дав ей отдельное название.

Полезная нагрузка состоит из двух частей. Первая - программа удалённого доступа DEV#POPPER, написанная на Node.js (среда выполнения JavaScript вне браузера). Она даёт злоумышленнику полный контроль над машиной и закрепляется в системе, встраиваясь в среду разработки. Вторая - OmniStealer, сборщик учётных данных на языке Python. Он ищет более 60 расширений криптовалютных кошельков, менеджеры паролей и данные браузеров, работает на Windows, macOS и Linux и передаёт добычу через Telegram.

Поиск сигнала идёт целенаправленно. Программа берёт текущий номер блока и шагает назад с удвоением расстояния, охватывая всё более старые записи. На каждом шаге она просматривает переводы нужного кошелька и ищет среди них свежие. Найдя подходящий, она собирает адрес сервера из адреса получателя и запускает с него загрузку следующей ступени. Оператор отправляет сигналы примерно раз в 50 минут, поэтому недавняя запись почти всегда попадается при сканировании.

Главная особенность новой сборки - три равноправных канала связи с центром управления, которые запускаются одновременно. Первый - адрес сервера, прописанный в коде. Второй - цепочка TRON, Aptos и BSC. Третий - поиск сигнала в Ethereum. Ни один канал не ждёт отказа остальных. Блокировка прописанного адреса бесполезна, пока живы два других. Отключение отдельных узлов доступа к Ethereum тоже не помогает: программа выбирает случайный из нескольких публичных сервисов. Счета-получатели выдуманы, средств на них нет, заморозить или удалить их невозможно. Прервать связь удастся, только накрыв все три канала разом.

Сравнение с прошлогодней версией показывает, насколько осознанно выбраны детали. В октябре 2025 года центр управления слушал нестандартный порт, характерный для баз данных, и такой признак легко заметить при разборе трафика. Теперь он работает на стандартном порту защищённых веб-соединений и смешивается с обычной нагрузкой. Код получил более плотное запутывание: строки кодируются восемнадцатью разными алфавитами, а логика разбита на генераторы. При этом контракт в сети BSC и ключ шифрования остались прежними, что указывает на одного и того же оператора.

Основная мишень - разработчики, у которых на рабочей машине лежат ключи доступа к репозиториям, облачным сервисам и криптовалютным кошелькам. Утечка таких сведений открывает путь к атаке на цепочку поставок. Через скомпрометированного сотрудника злоумышленник попадает в чужие продукты, а вместе с ними - к их пользователям. Для компаний риск измеряется не простоем, а подменой кода в собственных обновлениях.

Защита не сводится к одному действию. Проверяйте приглашения на работу и тестовые задания из мессенджеров, особенно если они ведут на сторонние репозитории и пакеты. Сотрудникам, работающим с криптовалютными кошельками, нужны отдельные машины и хранилища ключей. Ограничьте исходящие соединения с рабочих станций и следите за необычными обращениями к публичным узлам блокчейнов. Двухфакторная аутентификация во внешних сервисах снижает ущерб, если учётные данные всё же попали к атакующим.

Публичные блокчейны оказались удобной площадкой для скрытой связи: записи неизменяемы, доступ открыт, а стоимость операций ничтожна. За год оператор почти не менял инструменты, зато добавил четвёртую сеть и перевёл часть логики на передачу адресов вместо доставки кода. Схема с параллельными каналами означает, что защитным командам придётся искать не одну зацепку, а все сразу. Пока такие каналы остаются дешёвыми и децентрализованными, отказываться от них злоумышленники не станут.