Malafide Solidity extensie misbruikt Ethereum smart contract als backdoor

Beveiligingsonderzoekers van SlowMist ontdekken een gevaarlijke malafide extensie in de TRAE IDE marketplace die een Ethereum smart contract gebruikt als geheime command and control infrastructuur. De extensie, genaamd juannegro.solidity, deed zich voor als een legitieme Solidity plugin en trof op 18 juli 2026 nog steeds nietsvermoedende ontwikkelaars, ook nadat het pakket al van Open VSX werd verwijderd.

Hoe de aanval werkt

De extensie is een zogeheten cross platform malware dropper, een stuk software dat zichzelf installeert op het systeem van het slachtoffer en vervolgens extra schadelijke code binnenhaalt. Bijzonder aan deze aanval is dat de aanvallers geen gewone servers gebruiken om instructies door te sturen, maar een slim contract op de Ethereum blockchain. Daarin slaan ze de adressen op van hun command and control servers, ook wel C2 adressen genoemd.

Dit geeft de aanvallers een groot voordeel: ze kunnen die adressen op elk moment aanpassen zonder de extensie opnieuw te publiceren. Beveiligingssoftware die simpelweg op vaste domeinen of IP adressen let, mist de aanval daardoor volledig. De kwaadaardige extensie start automatisch na het opstarten van de IDE en zorgt ervoor dat hij ook na een herstart actief blijft, op zowel Windows als macOS en Linux. De Ethereum wallets die aan de aanval zijn gekoppeld zijn 0xf8a900db50b3331be6b768ba460bb59f3e40c344 en 0xFd3fc58bcbd8ccc77b6000201438eDfc636E7cA7.

Ethereum smart contract als aanvalswapen

Uit transactiedata blijkt dat het slim contract al in maart 2026 werd ingezet, maanden voor de ontdekking van de aanval. De aanvallers gebruikten het contract om dynamisch payload adressen en reverse shell C2 locaties op te halen. Zo kunnen ze geïnfecteerde systemen omleiden naar nieuwe servers zonder ook maar één regel code in de extensie zelf te veranderen. Dit is een opmerkelijke manier om blockchain technologie te misbruiken voor criminele doeleinden, vergelijkbaar met eerdere gevallen waarbij malware via legitieme platformen werd verspreid.

SlowMist publiceert een uitgebreide technische analyse van de aanval. Ontwikkelaars die de extensie juannegro.solidity hebben geïnstalleerd, wordt dringend aangeraden deze direct te verwijderen en hun systeem te controleren op sporen van compromise. De zaak laat zien dat IDE marketplaces steeds vaker als aanvalskanaal worden ingezet, en dat aanvallers creatief gebruikmaken van gedecentraliseerde infrastructuur om detectie te omzeilen.