EtherRAT恶意软件
最近发现的一起与朝鲜运营商有关的威胁活动，据信正在利用 React2Shell (RSC) 的关键漏洞部署一种名为 EtherRAT 的此前未知的远程访问木马。该恶意软件的显著特点是：将以太坊智能合约集成到其命令与控制 (C2) 工作流程中，在 Linux 系统上安装多个持久层，并在部署过程中捆绑其自身的 Node.js 运行时。
目录
与正在进行的“传染性访谈”行动相关的链接
安全团队发现 EtherRAT 活动与长期存在的“传染性访谈”攻击活动有很强的相似性。“传染性访谈”是一系列攻击活动，自 2025 年初以来一直活跃，并使用 EtherHiding 技术进行恶意软件传播。
这些攻击通常针对区块链和Web3开发者，通过伪造的面试、编程测试和视频评估来掩盖其恶意意图。受害者通常通过LinkedIn、Upwork和Fiverr等平台被联系，攻击者在这些平台上冒充合法招聘人员，提供高价值的就业机会。
研究人员指出，该威胁集群已成为 npm 生态系统中最活跃的恶意力量之一，展现了其渗透基于 JavaScript 的供应链和以加密为中心的工作流程的能力。
初始漏洞：React2Shell 漏洞利用
攻击序列首先利用 CVE-2025-55182，这是一个严重性评分为 10 的 RSC 漏洞。利用此漏洞，攻击者执行 Base64 编码的命令，该命令下载并触发一个 shell 脚本，该脚本负责启动主要的 JavaScript 植入程序。
该脚本通过 curl 获取，wget 和 Python 3 作为备用方法。在启动主有效载荷之前，它会从 nodejs.org 直接获取 Node.js v20.10.0 来准备系统，然后将加密数据块和一段经过混淆处理的 JavaScript 投放器写入磁盘。为了减少取证痕迹，脚本会在设置完成后清理自身并将控制权移交给投放器。
EtherRAT交付：加密、执行和智能合约C2
投放器的核心功能很简单：使用硬编码密钥解密 EtherRAT 有效载荷，并使用新下载的 Node.js 二进制文件启动它。
EtherRAT 最突出的特点在于它依赖于 EtherHiding 技术，该技术每五分钟从以太坊智能合约中检索 C2 服务器地址。这使得运营者能够实时更新基础设施，即使防御者破坏了现有域名。
该实现方案的独特之处在于其基于共识的投票系统。EtherRAT 同时查询九个公开的以太坊 RPC 端点，收集结果，并信任多数端点返回的 C2 URL。这种方法可以有效规避多种防御策略，确保即使某个 RPC 端点被攻破或篡改，也不会误导或阻塞整个僵尸网络。
研究人员此前在恶意 npm 包 colortoolsv2 和 mimelib2 中发现了类似的技术，这些包被用来向开发者分发下载器组件。
高频命令轮询和多层持久化
EtherRAT 与 C2 服务器建立通信后，会进入每 500 毫秒一次的快速轮询周期。任何超过十个字符的响应都会被解释为 JavaScript 代码，并在受感染的系统上立即执行。
通过五种持久化技术来维持长期访问，从而提高各种 Linux 启动过程的可靠性：
持久化方法：
- Systemd 用户服务
- XDG自动启动入口
- 定时任务
- .bashrc 修改
- 轮廓注入
通过跨多个执行路径传播，该恶意软件即使在重启后也能继续运行，从而确保操作员可以不间断地访问。
自更新能力和混淆策略
EtherRAT 包含一套复杂的更新流程：它会将自身的源代码发送到 API 端点，从 C2 服务器接收修改后的版本，然后使用这个新版本重新启动自身。虽然更新在功能上完全相同，但返回的有效载荷经过了不同的混淆处理，这有助于植入程序躲避静态检测技术。
代码与之前的 JavaScript 威胁家族重叠
进一步分析表明，EtherRAT加密加载器的部分代码与BeaverTail（一款已知的基于JavaScript的下载器和信息窃取工具，曾用于“传染性访谈”行动）存在相似之处。这进一步证实了EtherRAT要么是“传染性访谈”行动中所用工具的直接继承者，要么是其扩展版本。
对防御者的启示：转向隐蔽和持久作战
EtherRAT 展示了 React2Shell 利用方式的显著演进。它不再仅仅专注于加密货币挖矿或凭证窃取等机会主义活动，而是优先考虑隐蔽的长期访问。它融合了智能合约驱动的 C2 操作、基于共识的端点验证、多层持久化以及持续的自我混淆，对防御者构成了严峻挑战。
安全团队的关键要点
安全团队应注意，EtherRAT 代表着 RSC 漏洞利用的显著升级，使其成为一种持续且高度适应性的威胁，能够维持长期入侵。其命令与控制基础设施尤其强大，利用以太坊智能合约和多端点共识机制来抵御黑洞攻击、服务器宕机和对单个端点的操纵。此外，该恶意软件与“Contagious Interview”攻击活动的密切关联凸显了其持续关注高价值开发者目标，强调了区块链和 Web3 开发社区提高警惕的必要性。
