Дослідники з Socket Security виявили понад 34 шкідливі пакети в трьох реєстрах мов програмування, які націлені на середовища розробників криптопроєктів, зокрема на екосистеми Aptos, Sui та Solana.

Кампанія, названа TrapDoor, охоплює npm, PyPI та Crates.io, маючи понад 384 версії. Серед виявлених шкідливих пакетів на Crates.io — sui-framework-helpers, sui-move-build-helper та move-analyzer-build, а також численні пакети npm і PyPI, повідомили дослідники Socket у заяві в неділю. 

Дослідники заявили, що шкідливе програмне забезпечення призначене для викрадення SSH-ключів, сховищ ключів гаманців, облікових даних AWS, токенів GitHub та баз даних для входу в браузер з машин розробників. Пакети виконуються через специфічні для екосистем механізми, включаючи npm postinstall hooks, тригери імпорту Python та скрипти Rust build.rs.

За даними Socket Security, найранішим виявленим пакетом був модуль PyPI [email protected], завантажений у п'ятницю о 20:20 за UTC, скомпільована версія якого була опублікована через дві хвилини. Пакети були випущені в швидкій послідовності з кількох облікових записів і з'явилися в реєстрах тісно згрупованими хвилями розгортання, згідно зі звітом.

Пакети npm у кампанії включали такі інструменти, як crypto-credential-scanner, defi-env-auditor та wallet-security-checker, тоді як пакети Crates.io були зосереджені на інструментах розробки Sui та Move, включаючи move-project-builder та sui-sdk-build-utils. Пакети PyPI включали eth-security-auditor та defi-risk-scanner, розроблені для автоматичного виконання під час стандартних робочих процесів розробки.

Дослідники Socket зазначили, що назви пакетів були створені так, щоб нагадувати інструменти розробки в крипто, DeFi, AI та безпекових робочих процесах, націлюючись на середовища, де можуть зберігатися хмарні облікові дані, SSH-ключі та дані гаманців на машинах розробників.

Фірма описала кампанію як низькооб'ємну, але високоефективну операцію, з відносно невеликою кількістю пакетів, розповсюджених по кількох реєстрах, але націлену на середовища, що містять цінні автентифікаційні та фінансові облікові дані.