A TrapDoor célja, hogy megmérgezze az AI kódoló eszközöket

Harmincnégy rosszindulatú csomag. Három nyilvántartás. A Socket Security 2026. május 25-én nyilvánosan megnevezte a kampányt. A TrapDoor kódnevű művelet május 19-én hagyta legkorábbi nyomait, a fő hullám május 22-én 20:20 UTC-kor érkezett. A Socket közzétételének idejére 384 verziót toltak az npm, PyPI és Crates.io oldalakon keresztül.

Mit lop el a TrapDoor és hogyan működik

Az első megerősített csomag a eth-security-auditor volt a PyPI-n. Gyorsan tucatnyi követte mindhárom regisztrációban, egy csomó fiókból, amelyek tömbösítve dolgoztak. Az elnevezések szándékosak: prompt-engineering-toolkit, defi-threat-scanner, wallet-security-checker, solidity-deploy-guard. Mindegyik egy-egy rutinszerű segédprogramnak felel meg a kripto-, DeFi-, Solana- vagy AI-munkafolyamatokban. A hasznos teher mind a 384 változatban egységes: kriptotárcák, SSH-kulcsok, felhő hitelesítő adatok, AWS és GitHub tokenek, böngészőadatok és környezeti változók.

Npm-csomagok drop trap-core.js posztinstallációs horgok segítségével. Az ellopott tokeneket az AWS és a GitHub élő végpontjaival szemben validálja, és cron munkákon, systemd-n, Git-horgokon és SSH-n keresztül ássa be magát. A PyPI csomagok importáláskor tüzelnek, és JavaScript hasznos terhet hívnak le egy támadó által ellenőrzött GitHub Pages tartományból, amelyet külső tárhelyen tárolnak, így a támadó a PyPI érintése nélkül frissítheti azt. A Crates.io csomagok egy build.rs szkriptet használnak, lokalizálják a helyi keystore-okat, és XOR-titkosított adatokat tolnak a GitHub Gists-be. A Socket medián észlelési ideje öt perc és 27 másodperc volt. A hétvégi időzítés szándékos volt.

A mesterséges intelligencia kódolási fenyegetés

A TrapDoor .cursorrules és CLAUDE.md fájlokat is elhelyez a céltárolókban, utasításokat rejtve nulla szélességű Unicode karakterekbe. Egy mesterséges intelligencia kódoló asszisztens, aki ezeket a fájlokat olvassa, rutin biztonsági ellenőrzést lát. Ennek futtatása kiszivárogtatja a titkokat a helyi gépről.

A támadó pull-kérelmeket nyitott a BrowserUse, LangChain és LangFlow ellen, hogy tesztelje, túlélnének-e ezek a fájlok egy normál kódellenőrzést. Ha beolvasztják őket, minden fejlesztő, aki megnyitja a repót egy AI kódoló eszközzel, célponttá válik. A támadási felület a szerkesztő, nem a registry.

Arról, hogy a fejlesztői eszközök hogyan váltak az elsődleges támadási felületté 2026-ban, lásd a következő cikkünket VS Code kiterjesztés megsértése amely a GitHubot, az OpenAI-t és a Mistral AI-t érte: