Хакеры нацелились на разработчиков Aptos, Sui и Solana с помощью кампании вредоносного ПО TrapDoor

• Реклама -

• Исследователи обнаружили 34 вредоносных пакета от вредоносного ПО TrapDoor, нацеленного на экосистемы Aptos, Sui и Solana.

• Пакеты предназначены для кражи криптокошельков разработчиков, SSH-ключей, облачных учетных данных, данных браузера и переменных окружения

Исследователи из Socket Security выпустили предупреждение для сообществ экосистем Aptos, Sui и Solana. Новое вредоносное ПО под названием TrapDoor нацелено на эти экосистемы путем внедрения вредоносных пакетов в репозитории кода, такие как npm, PyPI и Crates.io. Скрываясь в приложениях, таких как файлы AI-ассистентов и скрипты автоматизации, вредоносное ПО может красть криптокошельки, облачные токены и ключи доступа с рабочих станций разработчиков.

Исследователи отметили, что самые ранние релизы вредоносного ПО были замечены в пятницу в 20:20 UTC, а последующие были опубликованы в быстрой последовательности, что указывает на скоординированный, а не оппортунистический характер атаки. Вредоносное ПО TrapDoor было создано для поиска на скомпрометированных компьютерах конфиденциальных данных, включая SSH-ключи, учетные данные AWS, токены GitHub, данные для входа в браузер, ключи API и файлы криптокошельков, связанные с средами разработки Sui, Solana и Aptos.

Криптовалютные пользователи и платформы уже становились целями кампаний вредоносного ПО. Злоумышленники годами использовали фишинговые электронные письма и поддельные загрузки, а теперь расширяют сеть, включая в нее разработчиков. Криптокошельки, облачные учетные данные и инструменты ИИ делают этих разработчиков хорошими целями.

TrapDoor манипулирует AI-инструментами

Одним из самых необычных аспектов кампании TrapDoor была попытка манипулировать AI-ассистентами кодирования. Злоумышленники добавили скрытые инструкции в файлы, обычно используемые AI-инструментами разработки. Эти инструкции пытались убедить AI-ассистентов выполнять поддельные «сканирования безопасности», которые раскрывали бы конфиденциальные локальные файлы и учетные данные.

Socket отметил, что вредоносное ПО использовало символы Unicode нулевой ширины, чтобы скрыть некоторые из этих инструкций от просмотра человеком, но при этом сделать их читаемыми для определенных AI-систем.

Поскольку AI-ассистированное кодирование ускоряет разработку программного обеспечения, компании все больше полагаются на зависимости с открытым исходным кодом, автоматические установки пакетов и рабочие процессы, созданные AI. Это означает, что теперь они уязвимы для атак, предназначенных для этого удобства.

Платформа Socket в настоящее время призывает разработчиков в затронутых экосистемах запустить тесты для обнаружения этого вредоносного ПО. Ее системы обнаружения идентифицировали релизы TrapDoor в течение нескольких минут после публикации в нескольких реестрах. Далее было отмечено, что все идентифицированные пакеты классифицированы как вредоносные, и компания продолжает отслеживать и сообщать о связанных версиях и инфраструктуре, связанных с кампанией.

Как сообщал ETHNews в марте, еще один отчет недавно выявил аналогичную угрозу безопасности. OX Security выявила широкомасштабную фишинговую кампанию, нацеленную на разработчиков, взаимодействующих с OpenClaw, проектом AI-агента с открытым исходным кодом, имеющим 324 000 звезд на GitHub, с использованием поддельных предложений раздачи токенов для опустошения криптокошельков и кражи учетных данных SSH.

Безопасность стала серьезной проблемой для криптовалют в этом году: почти дюжина эксплойтов вывели почти 1 миллиард долларов из протоколов DeFi. Кросс-чейн мосты были наиболее распространенной целью, что привело к миграции от мостов LayerZero к более безопасным альтернативам, таким как CCIP от Chainlink. За последний месяц более 4 миллиардов долларов в криптоактивах были перемещены в Chainlink.