Hackers visam desenvolvedores de Aptos, Sui e Solana com campanha de malware TrapDoor

• Anúncio -

• Pesquisadores descobrem 34 pacotes maliciosos do malware TrapDoor mirando ecossistemas Aptos, Sui e Solana.

• Os pacotes são projetados para roubar carteiras de criptomoedas dos desenvolvedores, chaves SSH, credenciais em nuvem, dados do navegador e variáveis de ambiente

Pesquisadores da Socket Security emitiram um alerta para as comunidades dos ecossistemas Aptos, Sui e Solana. Um novo malware chamado TrapDoor está mirando esses ecossistemas ao injetar pacotes maliciosos em repositórios de código como npm, PyPI e Crates.io. Escondendo-se em aplicativos como arquivos de assistente de IA e scripts de automação, o malware pode roubar carteiras de criptomoedas, tokens em nuvem e chaves de acesso de estações de trabalho de desenvolvedores.

Os pesquisadores notaram que os primeiros lançamentos do malware foram observados na sexta-feira às 20:20 UTC, com mais publicados em rápida sucessão, sugerindo que o ataque foi coordenado, não oportunista. O malware TrapDoor foi construído para buscar em computadores comprometidos dados sensíveis, incluindo chaves SSH, credenciais AWS, tokens GitHub, dados de login do navegador, chaves de API e arquivos de carteira de criptomoedas associados aos ambientes de desenvolvimento Sui, Solana e Aptos.

Usuários e plataformas de criptomoedas já foram alvo de campanhas de malware antes. Golpistas usam e-mails de phishing e downloads falsos há anos, e agora estão ampliando a rede para incluir desenvolvedores. Carteiras de criptomoedas, credenciais em nuvem e ferramentas de IA tornam esses desenvolvedores bons alvos.

TrapDoor Manipula Ferramentas de IA

Um dos aspectos mais incomuns da campanha TrapDoor foi sua tentativa de manipular assistentes de codificação de IA. Os atacantes adicionaram instruções ocultas em arquivos comumente usados por ferramentas de desenvolvimento de IA. Essas instruções tentavam convencer os assistentes de IA a realizar falsas "varreduras de segurança" que exporiam arquivos e credenciais locais sensíveis.

A Socket observou que o malware usou caracteres Unicode de largura zero para ocultar algumas dessas instruções da revisão humana, enquanto ainda as tornava legíveis para certos sistemas de IA.

À medida que a codificação assistida por IA acelera o desenvolvimento de software, as empresas estão cada vez mais dependendo de dependências de código aberto, instalações automatizadas de pacotes e fluxos de trabalho gerados por IA. Isso significa que agora estão vulneráveis a ataques projetados para essa conveniência.

A plataforma da Socket agora está pedindo que desenvolvedores nos ecossistemas afetados realizem testes para detectar esse malware malicioso. Seus sistemas de detecção identificaram lançamentos do TrapDoor minutos após a publicação em vários registros. Observou ainda que classificou todos os pacotes identificados como maliciosos e continua rastreando e relatando versões relacionadas e infraestrutura associada à campanha.

Conforme relatado pela ETHNews em março, outro relatório identificou recentemente uma ameaça de segurança semelhante. A OX Security identificou uma campanha generalizada de phishing direcionada a desenvolvedores que interagem com o OpenClaw, um projeto de agente de IA de código aberto com 324.000 estrelas no GitHub, usando ofertas falsas de airdrop de tokens para drenar carteiras de criptomoedas e roubar credenciais SSH.

A segurança se tornou uma grande preocupação para o setor de criptomoedas este ano, com quase uma dúzia de exploits drenando quase US$ 1 bilhão de protocolos DeFi. Pontes cross-chain têm sido o alvo mais comum, levando a uma migração do LayerZero bridging para alternativas mais seguras, como o CCIP da Chainlink. Mais de US$ 4 bilhões em ativos cripto foram movidos para a Chainlink apenas no último mês.