Solana-, Sui- und Aptos-Wallet-Daten, auf die der TrapDoor-Paketangriff abzielt
Eine neue Krypto-Diebstahl-Kampagne zielt auf die Entwickler ab, die höchstwahrscheinlich Wallet-Schlüssel, Cloud-Anmeldeinformationen und Produktionszugriff auf ihren Rechnern haben.
Forscher des Sicherheitsunternehmens Socket sagten Anfang dieser Woche, sie hätten einen Supply-Chain-Angriff namens TrapDoor identifiziert, der sich über drei große Open-Source-Programmierregister erstreckt und mehr als 34 Schadpakete und Hunderte zugehöriger Versionen und Artefakte enthält.
Eine wichtige Erkenntnis ist, dass Angreifer immer fokussierter werden. Zusätzlich zum Social Engineering, das auf Personen abzielt, die im Besitz wichtiger Informationen sind, zielen Supply-Chain-Angriffe nicht darauf ab, zufällige Einzelhandelsnutzer, sondern Entwickler zu erwischen. Das sind genau die Leute, die möglicherweise Wallet-Dateien, SSH-Schlüssel, GitHub-Tokens, Cloud-Anmeldeinformationen und Produktionszugriff auf demselben Computer haben, den sie zum Erstellen von Krypto- und KI-Tools verwenden.
Socket identifizierte weder Opfer noch gestohlene Gelder, sagte jedoch, dass die Pakete auf npm, PyPI und Crates.io aktiv seien und Payloads enthielten, die Wallet-Daten stehlen, Anmeldeinformationen exfiltrieren, AWS- und GitHub-Tokens testen und Dateien zurücklassen könnten, um den Zugriff aktiv zu halten.
Die in JavaScript, Python und Rust programmierten Pakete wurden als Entwicklerhelfer, Sicherheitsscanner, Wallet-Tools, Solidity-Dienstprogramme, KI-Eingabeaufforderungspakete und Sui- oder Move-Build-Helfer getarnt.
Vom Design her langweilig
Die Namen waren von Natur aus langweilig. Die Pakete wurden „Wallet-Security-Checker“, „Defi-Risk-Scanner“, „Solidity-Build-Guard“, „Move-Compiler-Tools“ und „LLM-Context-Compressor“ genannt und ähnelten kleinen Dienstprogrammen, die ein Krypto- oder KI-Entwickler ohne viel Nachdenken installieren würde.
Nach der Installation versuchten die Payloads jedoch, weit mehr als nur Paketdaten abzurufen.
In den npm-Paketen durchsuchte die Malware den Rechner eines Entwicklers nach privaten Schlüsseln, Passwörtern, GitHub-Tokens und Cloud-Logins. Außerdem wurden einige gestohlene Zugangsdaten getestet, versucht, über SSH-Schlüssel in andere Systeme einzudringen, und es wurden Dateien zurückgelassen, die die Infektion aktiv halten könnten.
SSH-Schlüssel sind Anmeldedateien, mit denen Entwickler auf Server, Code-Repositorys und andere Maschinen zugreifen. Wenn sie gestohlen werden, können sie es einem Angreifer ermöglichen, von einem kompromittierten Laptop in die umfassendere Infrastruktur eines Unternehmens einzudringen.
Der Angriff nutzt auch Dateien wie .cursorrules und claude.md, die es Entwicklern ermöglichen, KI-Codierungstools projektspezifische Anweisungen zu geben. Socket sagte, die Kampagne habe versteckte Anweisungen mit Unicode-Zeichen der Breite Null eingeschleust und offenbar versucht, zukünftige KI-Assistentensitzungen dazu zu bringen, gefälschte „Sicherheitsscans“ durchzuführen, die Geheimnisse sammelten und herausfilterten.
Dadurch wurde der Angriff von einem normalen Paketdiebstahl zu etwas, das eher einer Malware in der Entwicklerumgebung ähnelt. Die Paketinstallation ist nur der erste Schritt, wobei das eigentliche Ziel die Workstation ist, wie Wallets, Repos, Browserdaten, Cloud-Schlüssel, SSH-Zugriff und alle als nächstes gelesenen KI-Codierungstools.
Die Rust-Pakete verwendeten bösartige build.rs-Skripte zur Ausführung während der Kompilierung und zielten auf Sui- und Move-Entwickler ab. PyPI-Pakete führten beim Import Remote-JavaScript aus. Pakete auf npm verwendeten Postinstall-Hooks.
Socket gab an, die Pakete den betroffenen Registern gemeldet und die Kampagnenpakete als bösartig eingestuft zu haben. Das Unternehmen warnte außerdem, dass der Angreifer Pull-Requests für KI- und Entwicklerprojekte öffnete und versuchte, .cursorrules- und CLAUDE.md-Dateien über normale Open-Source-Beitragspfade hinzuzufügen.