Kritisk säkerhetsvarnning: Massiv attack på utvecklarkedjan
Cybersäkerhetslaboratoriet SlowMist har utfärdat en kritisk säkerhetsvarnning med koden SM-2026-352284. Enligt det officiella uttalandet har en aktiv attack på leveranskedjan över flera register upptäckts, riktad mot utvecklare av Web3- och AI-produkter.
Hackare injicerade mer än 34 skadliga paket och 384 associerade versioner i de största paketdatabaserna, inklusive npm, PyPI och Crates.io, direkt inriktade på utvecklare inom Solana-, DeFi- och AI-ekosystemen.
Eskalering av hot och förändrad attackstrategi
Incidenten inträffar mot bakgrund av april månad, då DeFi-sektorn förlorade rekordhöga 635 miljoner dollar över 28 hack. Även om omfattningen av direkta smart contract-exploateringar minskade i maj, visar SlowMist telemetri en fundamental förändring i attackörernas taktik.
Hotaktörer har flyttat sitt fokus från att attackera skyddade servrar till att hemligt kompromissa utvecklares personliga enheter. SlowMist:s analys visar att TrapDoor är utformad för fullständig kompromiss av utvecklararbetsstationer.
Malwarens funktionalitet och persistensmekanismer
Malwaren stjäl:
- Kryptovalutaplånböcker
- Molntoken såsom AWS och GitHub-autentiseringsuppgifter
- Åtkomstnycklar
All data skickas till adresser kontrollerade av angriparna. Konceptuellt upprepar schemat logiken från den välkända npm-masken ”Mini Shai-Hulud”.
För att upprätthålla hemlig persistens i systemet skriver nyttolasten sig själv direkt in i AI-assistentkonfigurationsfiler såsom .cursorrules och CLAUDE.md, samtidigt som den gömmer sig inuti Git hooks och automatiseringsskript. I databaserna är programvaran förklädda som AI-plugins och byggverktyg för Sui och Move.
Riskfaktorer och rekommenderade åtgärder
Incidenten förvärras av trenden ”vibe coding”, där utvecklare monterar projekt genom prompter och blindt ansluter dussintals kapslade bibliotek. Som ett resultat laddar AI-agenter automatiskt ned skadlig kod på maskiner där smarta redigerare har direkt åtkomst till lokala konfigurationsfiler.
På grund av hotets kritiska karaktär instruerar SlowMist utvecklarteam att omedelbar ta bort de påverkade paketen, isolera infekterade system, bevara loggar och starta ett trestegs sanerings protokoll.
