Malware su Ethereum. La blockchain come arma, EtherHiding e la nuova strategia hacker nordcoreana

Nel panorama sempre più sofisticato delle minacce informatiche globali, un nuovo capitolo si apre con l’adozione da parte di gruppi hacker nordcoreani della tecnica nota come EtherHiding, un metodo innovativo che sfrutta la resilienza delle blockchain pubbliche per occultare e distribuire malware. 

Secondo quanto riportato da fonti autorevoli come The Hacker News, Ars Technica e il blog ufficiale di Google Cloud, il gruppo UNC5342, già noto con numerosi alias tra cui Famous Chollima e Void Dokkaebi, ha impiegato questa tecnica per nascondere payload malevoli all’interno di smart contract su reti Ethereum e BNB Chain. EtherHiding consente agli attori malevoli di utilizzare transazioni blockchain come “host a prova di rimozione”, rendendo i contenuti dannosi virtualmente impossibili da eliminare tramite i metodi tradizionali di takedown o blocklisting.

Questa strategia rappresenta un’evoluzione significativa rispetto ai precedenti approcci, poiché sfrutta l’immutabilità e la decentralizzazione delle blockchain per garantire una persistenza operativa senza precedenti. Il gruppo UNC5342 ha integrato EtherHiding in una campagna denominata Contagious Interview, in cui le vittime vengono contattate tramite LinkedIn con offerte di lavoro fasulle, inducendole a scaricare codice malevolo camuffato da strumenti di sviluppo. Una volta installato, il malware recupera ulteriori componenti direttamente dagli smart contract, bypassando i controlli tradizionali e sfruttando la natura pubblica delle blockchain per eludere la sorveglianza.

Secondo il Google Threat Intelligence Group, questa è la prima volta che un attore statale adotta EtherHiding in modo sistematico, segnando un punto di svolta nella cyberwarfare. La tecnica non solo permette una distribuzione decentralizzata del malware, ma complica enormemente le operazioni di risposta e mitigazione da parte delle autorità e dei ricercatori di sicurezza.

L’uso di EtherHiding da parte della Corea del Nord si inserisce in una strategia più ampia di furto di criptovalute, con l’obiettivo di finanziare attività governative eludendo le sanzioni internazionali. Le implicazioni sono gravi: la blockchain, nata come strumento di trasparenza e decentralizzazione, viene ora strumentalizzata per scopi malevoli, trasformandosi in un vettore di attacco resistente e difficile da neutralizzare.