Eksperci z Unit 42 wskazują na niebezpieczną zmianę w metodach działania grup hakerskich, które coraz częściej wykorzystują architekturę Web3 do zarządzania infrastrukturą Command-and-Control (C2). Zamiast polegać na statycznych adresach IP czy domenach, które łatwo zablokować, napastnicy używają inteligentnych kontraktów blockchain do dynamicznej aktualizacji botnetów i instrukcji dla złośliwego oprogramowania.
Ataki koncentrują się na łańcuchu dostaw oprogramowania, celując w zależności open-source. Poprzez zatruwanie pakietów w rejestrach takich jak npm, napastnicy infekują stacje robocze programistów oraz potoki CI/CD. Pozwala to na kradzież niezwykle cennych danych, takich jak tokeny tożsamości chmurowej, klucze kont serwisowych oraz tajne dane konfiguracyjne, co często umożliwia obejście uwierzytelniania wieloskładnikowego (MFA).
Analizowane kampanie, takie jak ChainDrop czy PolinRider (powiązany z grupami z Korei Północnej), pokazują zaawansowane techniki ukrywania komunikacji. ChainDrop wykorzystuje mechanizm EtherHiding do odczytywania zaszyfrowanych informacji z transakcji smart kontraktów, natomiast PolinRider stosuje hybrydową architekturę komunikacji przez różne sieci blockchain, w tym TRON czy Binance Smart Chain, aby zapewnić sobie odporność na blokady.
Aby się bronić, organizacje powinny monitorować nietypowy ruch sieciowy w stronę sieci blockchain, jeśli nie jest on niezbędny do prowadzonej działalności. Kluczowe jest również wdrożenie zaawansowanej ochrony punktów końcowych oraz automatyzacja kontroli polityk bezpieczeństwa w systemach kontroli wersji i procesach CI/CD.
