Hackers visam desenvolvedores da Aptos, Sui e Solana com a campanha de malware TrapDoor.

• Publicidade -

• Investigadores descobrem 34 pacotes maliciosos do malware TrapDoor a atingir os ecossistemas Aptos, Sui e Solana.

• Os pacotes foram concebidos para roubar carteiras de criptomoedas, chaves SSH, credenciais na nuvem, dados do navegador e variáveis de ambiente dos programadores

Os investigadores da Socket Security emitiram um aviso às comunidades dos ecossistemas Aptos, Sui e Solana. Um novo malware chamado TrapDoor está a atingir estes ecossistemas ao injetar pacotes maliciosos em repositórios de código como npm, PyPI e Crates.io. Escondendo-se em aplicações como ficheiros de assistentes de IA e scripts de automação, o malware pode roubar carteiras de criptomoedas, tokens na nuvem e chaves de acesso de estações de trabalho de programadores.

Os investigadores notaram que as primeiras versões do malware foram observadas na sexta-feira às 20:20 UTC, com mais publicadas em rápida sucessão, sugerindo que o ataque foi coordenado, não oportunista. O malware TrapDoor foi criado para pesquisar computadores comprometidos em busca de dados sensíveis, incluindo chaves SSH, credenciais AWS, tokens GitHub, dados de login do navegador, chaves API e ficheiros de carteiras de criptomoedas associados a ambientes de desenvolvimento Sui, Solana e Aptos.

Os utilizadores e plataformas de criptomoedas já foram alvo de campanhas de malware antes. Os golpistas usam e-mails de phishing e downloads falsos há anos, e agora estão a alargar a rede para incluir construtores. Carteiras de criptomoedas, credenciais na nuvem e ferramentas de IA tornam estes programadores bons alvos.

TrapDoor Manipula Ferramentas de IA

Um dos aspetos mais invulgares da campanha TrapDoor foi a sua tentativa de manipular assistentes de codificação de IA. Os atacantes adicionaram instruções ocultas em ficheiros normalmente usados por ferramentas de desenvolvimento de IA. Essas instruções tentavam convencer os assistentes de IA a realizar falsas "verificações de segurança" que exporiam ficheiros e credenciais locais sensíveis.

A Socket notou que o malware usava carateres Unicode de largura zero para ocultar algumas destas instruções da revisão humana, ao mesmo tempo que as tornava legíveis para certos sistemas de IA.

À medida que a codificação assistida por IA acelera o desenvolvimento de software, as empresas confiam cada vez mais em dependências de código aberto, instalações automatizadas de pacotes e fluxos de trabalho gerados por IA. Isto significa que agora estão vulneráveis a ataques concebidos para esta conveniência.

A plataforma Socket está agora a apelar aos programadores nos ecossistemas afetados para realizarem testes para detetar este malware malicioso. Os seus sistemas de deteção identificaram versões do TrapDoor minutos após a publicação em vários registos. Ainda notou que classificou todos os pacotes identificados como maliciosos e continua a rastrear e reportar versões relacionadas e infraestrutura associada à campanha.

Conforme reportado pela ETHNews em março, outro relatório identificou recentemente uma ameaça de segurança semelhante. A OX Security identificou uma campanha de phishing generalizada direcionada a programadores que interagem com o OpenClaw, um projeto de agente de IA de código aberto com 324.000 estrelas no GitHub, usando ofertas falsas de airdrop de tokens para drenar carteiras de criptomoedas e roubar credenciais SSH.

A segurança tornou-se uma grande preocupação para o sector das criptomoedas este ano, com quase uma dúzia de explorações a drenar perto de mil milhões de dólares de protocolos DeFi. As pontes cross-chain têm sido o alvo mais comum, levando a uma migração da ponte LayerZero para alternativas mais seguras, como a CCIP da Chainlink. Mais de quatro mil milhões de dólares em ativos cripto foram transferidos para a Chainlink no último mês.