Hackers apuntan a desarrolladores de Aptos, Sui y Solana con una campaña de malware TrapDoor

• Anuncio -

• Investigadores descubren 34 paquetes maliciosos del malware TrapDoor que apuntan a los ecosistemas de Aptos, Sui y Solana.

• Los paquetes están diseñados para robar billeteras de criptomonedas de desarrolladores, claves SSH, credenciales en la nube, datos del navegador y variables de entorno.

Investigadores de Socket Security han emitido una advertencia a las comunidades de los ecosistemas Aptos, Sui y Solana. Un nuevo malware llamado TrapDoor está atacando estos ecosistemas mediante la inyección de paquetes maliciosos en repositorios de código como npm, PyPI y Crates.io. Oculto en aplicaciones como archivos de asistentes de IA y scripts de automatización, el malware puede robar billeteras de criptomonedas, tokens en la nube y claves de acceso de las estaciones de trabajo de los desarrolladores.

Los investigadores notaron que las primeras versiones del malware se observaron el viernes a las 20:20 UTC, y se publicaron más en rápida sucesión, lo que sugiere que el ataque fue coordinado, no oportunista. El malware TrapDoor fue diseñado para buscar en computadoras comprometidas datos sensibles, incluyendo claves SSH, credenciales de AWS, tokens de GitHub, datos de inicio de sesión del navegador, claves API y archivos de billeteras de criptomonedas asociados con entornos de desarrollo de Sui, Solana y Aptos.

Los usuarios y plataformas de criptomonedas ya han sido objeto de campañas de malware anteriormente. Los estafadores han utilizado correos electrónicos de phishing y descargas falsas durante años, y ahora están ampliando la red para incluir a los constructores. Las billeteras de criptomonedas, las credenciales en la nube y las herramientas de IA hacen que estos desarrolladores sean buenos objetivos.

TrapDoor Manipula Herramientas de IA

Uno de los aspectos más inusuales de la campaña TrapDoor fue su intento de manipular asistentes de codificación de IA. Los atacantes agregaron instrucciones ocultas en archivos comúnmente utilizados por herramientas de desarrollo de IA. Esas instrucciones intentaban convencer a los asistentes de IA de realizar falsas "escaneos de seguridad" que expondrían archivos locales y credenciales sensibles.

Socket señaló que el malware utilizó caracteres Unicode de ancho cero para ocultar algunas de estas instrucciones de la revisión humana, manteniéndolas legibles para ciertos sistemas de IA.

A medida que la codificación asistida por IA acelera el desarrollo de software, las empresas dependen cada vez más de dependencias de código abierto, instalaciones automatizadas de paquetes y flujos de trabajo generados por IA. Esto significa que ahora son vulnerables a ataques diseñados para esta conveniencia.

La plataforma de Socket ahora pide a los desarrolladores en los ecosistemas afectados que ejecuten pruebas para detectar este malware malicioso. Sus sistemas de detección identificaron las versiones de TrapDoor en minutos de su publicación en múltiples registros. Además, señaló que ha clasificado todos los paquetes identificados como maliciosos y continúa rastreando e informando sobre versiones e infraestructura relacionadas asociadas con la campaña.

Como informó ETHNews en marzo, otro informe identificó recientemente una amenaza de seguridad similar. OX Security ha identificado una campaña de phishing generalizada dirigida a desarrolladores que interactúan con OpenClaw, un proyecto de agente de IA de código abierto con 324,000 estrellas en GitHub, utilizando ofertas falsas de airdrops de tokens para vaciar billeteras de criptomonedas y robar credenciales SSH.

La seguridad se ha convertido en una gran preocupación para las criptomonedas este año, con casi una docena de exploits que han drenado cerca de $1 mil millones de los protocolos DeFi. Los puentes entre cadenas han sido el objetivo más común, lo que ha llevado a una migración desde el bridging de LayerZero hacia alternativas más seguras como CCIP de Chainlink. Más de $4 mil millones en activos criptográficos se han movido a Chainlink solo en el último mes.