Các nhà nghiên cứu tại Socket Security đã xác định hơn 34 gói phần mềm độc hại trên ba kho lưu trữ ngôn ngữ lập trình nhắm mục tiêu vào môi trường phát triển tiền điện tử, bao gồm các hệ sinh thái Aptos, Sui và Solana.

Được đặt tên là TrapDoor, chiến dịch này trải rộng trên npm, PyPI và Crates.io với hơn 384 phiên bản tổng cộng. Các gói độc hại được xác định bao gồm sui-framework-helpers, sui-move-build-helper và move-analyzer-build trên Crates.io, cùng với nhiều gói npm và PyPI, các nhà nghiên cứu của Socket cho biết trong một tuyên bố vào Chủ Nhật. 

Các nhà nghiên cứu cho biết phần mềm độc hại này được thiết kế để đánh cắp khóa SSH, kho khóa ví, thông tin đăng nhập AWS, mã thông báo GitHub và cơ sở dữ liệu đăng nhập trình duyệt từ máy tính của nhà phát triển. Các gói phần mềm thực thi thông qua các cơ chế đặc trưng của từng hệ sinh thái, bao gồm các hook postinstall của npm, trình kích hoạt nhập của Python và các script build.rs của Rust.

Theo Socket Security, gói phần mềm sớm nhất được quan sát là mô-đun PyPI [email protected], được tải lên vào thứ Sáu lúc 20:20 UTC, với một gói wheel đã biên dịch được công bố hai phút sau đó. Các gói được phát hành liên tiếp bởi nhiều tài khoản và xuất hiện trên các kho lưu trữ trong các đợt triển khai tập trung chặt chẽ, theo báo cáo.

Các gói npm trong chiến dịch bao gồm các công cụ như crypto-credential-scanner, defi-env-auditor và wallet-security-checker, trong khi các gói Crates.io tập trung vào các công cụ phát triển Sui và Move, bao gồm move-project-builder và sui-sdk-build-utils. Các gói PyPI bao gồm eth-security-auditor và defi-risk-scanner, được thiết kế để tự động thực thi trong các quy trình làm việc phát triển tiêu chuẩn.

Các nhà nghiên cứu của Socket cho biết tên các gói được tạo ra để giống với các công cụ phát triển trong các quy trình làm việc về tiền điện tử, DeFi, AI và bảo mật, nhắm mục tiêu vào các môi trường mà thông tin đăng nhập đám mây, khóa SSH và dữ liệu ví có thể được lưu trữ trên máy tính của nhà phát triển.

Công ty mô tả chiến dịch này là một hoạt động có quy mô nhỏ nhưng tác động lớn, với số lượng gói tương đối ít được phân phối trên nhiều kho lưu trữ nhưng nhắm mục tiêu vào các môi trường chứa thông tin đăng nhập xác thực và tài chính có giá trị cao.