EtherRAT惡意軟體
最近發現的一起與北韓營運商有關的威脅活動，據信正在利用 React2Shell (RSC) 的關鍵漏洞部署一種名為 EtherRAT 的此前未知的遠端存取木馬。此惡意軟體的顯著特點是：將以太坊智慧合約整合到其命令與控制 (C2) 工作流程中，在 Linux 系統上安裝多個持久層，並在部署過程中捆綁其自身的 Node.js 運行時。
目錄
與正在進行的“傳染性訪談”行動相關的鏈接
安全團隊發現 EtherRAT 活動與長期存在的「傳染性訪談」攻擊活動有著強烈的相似性。 「傳染性訪談」是一系列攻擊活動，自 2025 年初以來一直活躍，並使用 EtherHiding 技術進行惡意軟體傳播。
這些攻擊通常針對區塊鏈和Web3開發者，透過偽造的面試、程式測試和影片評估來掩蓋其惡意意圖。受害者通常透過LinkedIn、Upwork和Fiverr等平台被聯繫，攻擊者在這些平台上冒充合法招募人員，提供高價值的就業機會。
研究人員指出，該威脅集群已成為 npm 生態系統中最活躍的惡意力量之一，展現了其滲透基於 JavaScript 的供應鏈和以加密為中心的工作流程的能力。
初始漏洞：React2Shell 漏洞利用
攻擊序列首先利用 CVE-2025-55182，這是一個嚴重性評分為 10 的 RSC 漏洞。利用此漏洞，攻擊者執行 Base64 編碼的命令，該命令下載並觸發一個 shell 腳本，該腳本負責啟動主要的 JavaScript 植入程式。
腳本透過 curl 獲取，wget 和 Python 3 作為備用方法。在啟動主有效載荷之前，它會從 nodejs.org 直接取得 Node.js v20.10.0 來準備系統，然後將加密資料區塊和一段經過混淆處理的 JavaScript 投放器寫入磁碟。為了減少取證痕跡，腳本會在設定完成後清理自身並將控制權移交給投放器。
EtherRAT交付：加密、執行與智慧合約C2
投放器的核心功能很簡單：使用硬編碼金鑰解密 EtherRAT 有效載荷，並使用新下載的 Node.js 二進位檔案啟動它。
EtherRAT 最突出的特點在於它依賴 EtherHiding 技術，該技術每五分鐘從以太坊智能合約中檢索 C2 伺服器位址。這使得營運者能夠即時更新基礎設施，即使防禦者破壞了現有網域。
此實現方案的獨特之處在於其基於共識的投票系統。 EtherRAT 同時查詢九個公開的以太坊 RPC 端點，收集結果，並信任多數端點傳回的 C2 URL。這種方法可以有效規避多種防禦策略，確保即使某個 RPC 端點被攻破或竄改，也不會誤導或阻塞整個殭屍網路。
研究人員先前在惡意 npm 套件 colortoolsv2 和 mimelib2 中發現了類似的技術，這些套件被用來向開發者分發下載器元件。
高頻指令輪詢和多層持久化
EtherRAT 與 C2 伺服器建立通訊後，會進入每 500 毫秒一次的快速輪詢週期。任何超過十個字元的回應都會被解釋為 JavaScript 程式碼，並在受感染的系統上立即執行。
透過五種持久化技術來維持長期訪問，從而提高各種 Linux 啟動過程的可靠性：
持久化方法：
- Systemd 用戶服務
- XDG自動啟動入口
- 定時任務
- .bashrc 修改
- 輪廓注入
透過跨多個執行路徑傳播，該惡意軟體即使在重新啟動後也能繼續運行，從而確保操作員可以不間斷地存取。
自更新能力和混淆策略
EtherRAT 包含一套複雜的更新流程：它會將自身的原始碼傳送到 API 端點，從 C2 伺服器接收修改後的版本，然後使用這個新版本重新啟動自身。雖然更新在功能上完全相同，但返回的有效載荷經過了不同的混淆處理，這有助於植入程序躲避靜態檢測技術。
程式碼與之前的 JavaScript 威脅家族重疊
進一步分析表明，EtherRAT加密載入器的部分程式碼與BeaverTail（一款已知的基於JavaScript的下載器和資訊竊取工具，曾用於「傳染性訪談」行動）有相似之處。這進一步證實了EtherRAT要不是「傳染性訪談」行動中所用工具的直接繼承者，就是其擴展版本。
對防禦者的啟示：轉向隱蔽與持久作戰
EtherRAT 展示了 React2Shell 利用方式的顯著演進。它不再僅僅專注於加密貨幣挖礦或憑證竊取等機會主義活動，而是優先考慮隱藏的長期訪問。它融合了智慧合約驅動的 C2 操作、基於共識的端點驗證、多層持久化以及持續的自我混淆，對防禦者構成了嚴峻挑戰。
安全團隊的關鍵要點
安全團隊應注意，EtherRAT 代表著 RSC 漏洞利用的顯著升級，使其成為持續且高度適應性的威脅，能夠維持長期入侵。其命令與控制基礎設施尤其強大，利用以太坊智慧合約和多端點共識機制來抵禦黑洞攻擊、伺服器宕機和單一端點的操縱。此外，該惡意軟體與「Contagious Interview」攻擊活動的密切關聯凸顯了其持續關注高價值開發者目標，強調了區塊鏈和 Web3 開發社群提高警覺的必要性。
