TrapDoor 恶意软件活动通过虚假开发者工具窃取加密钱包数据

在研究人员发现旨在通过中毒的开发人员包窃取钱包数据、API 密钥、云凭据和 SSH 访问权限的供应链攻击后，TrapDoor 恶意软件已成为加密货币和人工智能开发人员的新威胁。

根据开发者安全平台 Socket 周日发布的报告，这一名为“TrapDoor”的活动于周五首次被发现，并已通过至少 34 个恶意软件包和 384 个连接版本在多个软件生态系统中传播。

Socket 表示，攻击者主要针对加密货币、去中心化金融、人工智能和安全基础设施领域的开发人员，这些领域暴露的凭据可以提供对钱包、存储库、云环境和内部系统的访问。

目标服务包括与 Coinbase、Binance、MetaMask、Brave 相关的钱包和平台，以及与 Solana、Sui 和 Aptos 相关的区块链生态系统。

Socket 首席技术官 Ahmad Nassri 表示，该恶意软件还试图通过在开发工作流程中注入隐藏提示来操纵 Claude 和 Cursor 等 AI 编码助手。 Socket 的报告指出，攻击者似乎正在推动人工智能工具运行虚假的“安全扫描”，从而暴露秘密并将其传输回操作员。

开发者软件包存储库成为攻击路线

根据 Socket 的说法，在该活动中，恶意软件包被伪装成常见的开发实用程序，包括项目设置工具、模型路由软件、Solidity 框架、提示工程包以及基于 Sui 和 Move 的应用程序的构建帮助程序。

受感染的软件包是在 npm、PyPI 和 Rust 的 Crates 生态系统中发现的，攻击者可以同时访问 JavaScript、Python、AI、自动化和区块链开发社区。

Socket 表示，软件包名称是故意设计的，类似于开发人员在正常工作流程中可能安装的合法软件，而不会注意到可疑行为。

同时，该公司表示，与该行动相关的 GitHub 存储库显示出人工智能辅助开发活动的迹象，包括快速生成的诱饵存储库、部分完成的恶意软件组件以及围绕安全主题构建的提示注入文档。

另外，GitHub 于 5 月 20 日披露，未经授权的攻击者在入侵员工设备后访问了内部存储库。

攻击向量不断演变

最新的攻击活动通过可信的工作场所工具和专业的沟通渠道，针对加密货币开发人员进行了越来越多的攻击。

上个月，Elastic Security Labs 的研究人员详细介绍了一项单独的操作，该操作使用 Obsidian 笔记应用程序用名为 PHANTOMPULSE 的恶意软件感染加密货币和金融专业人士。 

据 Elastic 称，攻击者通过 LinkedIn 和 Telegram 对话接触受害者，然后将他们引导至包含木马插件的共享黑曜石保险库。

Elastic 表示，该恶意软件使用分布在三个网络上的区块链交易数据建立了一个去中心化的命令和控制结构，允许运营商在不依赖集中式服务器的情况下保持访问。

4 月初，区块链安全公司 CertiK 警告称，与朝鲜有联系的 Lazarus Group 运营商使用虚假 Zoom 会议、受损的 Telegram 帐户和 ClickFix 式的社会工程策略，向 macOS 设备上的加密货币高管和金融科技员工传播“Mach-O Man”恶意软件。

CertiK 研究员 Natalie Newson 将该活动与最近与 Drift 和 KelpDAO 相关的 DeFi 漏洞联系起来，据称攻击者通过社会工程和跨链基础设施滥用窃取了数亿美元。

安全研究人员越来越多地警告说，软件供应链、协作应用程序、人工智能开发工具和开源存储库正在成为以加密为重点的入侵的常见入口点，因为开发人员通常会安装具有更高系统权限的第三方软件包和插件。