أعلنت شركة الأمان Socket في 25 مايو عن نشاط هجوم لسلسلة الإمداد يسرق العملات المشفرة باسم TrapDoor، وقد تم العثور على أكثر من 34 حزمة برمجيات خبيثة و384 إصدارًا مرتبطًا بها في npm وPyPI وCrates.io. قامت Socket بإبلاغ المستودعات المتأثرة، وتمت إزالة بعض الحزم الخبيثة، وحتى وقت إعداد التقرير لا يزال جزء منها موجودًا.
آليات التنفيذ الخبيث في ثلاثة مستودعات رئيسية
（المصدر：Socket Security）
npm (22 حزمة) تُدرج حمولة تجمع بيانات الاعتماد trap-core.js من خلال خطافات ما بعد التثبيت (postinstall hooks)، وتتكون من 1,149 سطرًا مشتركة، وتتحقق من الاعتمادات المسروقة باستخدام واجهات AWS وGitHub API، ثم تُزرع عمليات دائمة عبر خطافات Git وخطافات shell وsystemd وcron وSSH، ويمكن لجهاز التطوير الذي تم اختراقه أن يصبح جسرًا للحركة الجانبية إلى بنى تحتية أخرى.
PyPI (7 حزم) تُنفَّذ تلقائيًا عند الإدخال، فتقوم بتنزيل JavaScript من نطاق GitHub Pages الذي يتحكم فيه المهاجم، وتستخدم node -e للتنفيذ؛ ولا يحتاج المهاجم إلى نشر إصدارات جديدة لتحديث السلوك. Crates.io (6 حزم، جميعها تستهدف مطوري Sui وMove) تستخدم سكربت build.rs خبيثًا لبناء المشروع، فتقوم أثناء التجميع في Rust بالبحث في مستودع المفاتيح المحلي، ثم تشفرها عبر XOR باستخدام مفتاح مُضمَّن (hard-coded) وترسلها إلى GitHub Gist.
أنواع البيانات التي تمت سرقتها بواسطة TrapDoor (تأكيد من Socket)
وفقًا لتحليل Socket، يقوم TrapDoor بسرقة الأنواع التالية من البيانات:
· مفاتيح SSH (يمكن استخدامها للحركة الجانبية)
· بيانات محافظ Sui وSolana وAptos
· بيانات اعتماد AWS ورموز GitHub
· ملفات إعدادات المتصفح وقاعدة بيانات بيانات تسجيل الدخول
· بيانات إضافات محافظ التشفير
· متغيرات البيئة ومفاتيح API
· ملفات إعدادات التطوير المحلية
حقن أهداف بالذكاء الاصطناعي: .cursorrules وCLAUDE.md وطلبات السحب الخبيثة (PR)
تستخدم TrapDoor ملفات .cursorrules وCLAUDE.md، وتقوم بحقن تعليمات مخفية عبر أحرف Unicode صفرية العرض (zero-width)، في محاولة لخداع أدوات ترميز بالذكاء الاصطناعي مثل Cursor وClaude لتنفيذ «فحص أمان»، بما يؤدي إلى سرقة مفاتيح المطورين. يستخدم المهاجم حساب GitHub ddjidd564، ويقوم في الوقت نفسه بتقديم طلبات سحب إلى مشاريع مفتوحة المصدر رئيسية للذكاء الاصطناعي مثل browser-use وlangchain وlangflow وllama_index وMetaGPT وOpenHands، في محاولة لإدراج ملفات .cursorrules وCLAUDE.md التي تشير إلى عناوين URL للإعدادات يتحكم فيها المهاجم؛ وتم وسم النشاط كـ P-2024-001.
الأسئلة الشائعة
ما الإجراءات العاجلة التي يجب على مطوري TrapDoor اتخاذها؟
قم فورًا بتحديد وإزالة أي حزم خبيثة ذات صلة تم تثبيتها (القائمة الكاملة تشمل 22 حزمة على npm و7 حزم على PyPI و6 حزم على Crates.io)، وقم فورًا بإبطال أي بيانات اعتماد AWS أو رموز GitHub أو مفاتيح SSH قد تم كشفها. قامت Socket بالإبلاغ عن نشاط TrapDoor إلى المستودعات الثلاثة، وتواصل تحديث صفحة تتبع نشاط الهجوم.
ما البنية التحتية لنشاط هجوم TrapDoor؟
يستضيف المهاجم الأحمال والتهيئة عبر حساب GitHub ddjidd564، ويكون نطاق GitHub Pages هو ddjidd564[.]github[.]io/defi-security-best-practices/ . كما يدير الحساب كذلك وثائق تقنية من تأليفه (بما في ذلك AUDIT-MATRIX.md وBYPASS.md وPAYLOAD.md وSWARM.md)، إضافة إلى مستودعات دعائية متعددة تركز على DeFi والأمن.
كيف يمكن للمطورين التأكد مما إذا كانت بيئتهم مصابة؟
تنصح Socket بفحص ما إذا كانت بيئة التطوير المحلية تتضمن ملفات .cursorrules أو CLAUDE.md تحتوي على تهيئات غير اعتيادية تتضمن أحرف Unicode صفرية العرض، إضافة إلى عمليات غير اعتيادية ضمن خطافات postinstall أو خدمات systemd أو مهام cron. وقد تم نشر القائمة الكاملة للحزم الخبيثة الخاصة بـ Socket، ويمكن للمطورين التحقق يدويًا خطوة بخطوة من الحزم المثبتة.
