- Le malware s'est propagé via les packages npm, PyPI et Rust par vagues coordonnées.
- Il vole les portefeuilles cryptographiques, les clés SSH et les informations d’identification des développeurs cloud.
- Les outils de codage d’IA ont également été ciblés via des fichiers de configuration malveillants.
Une campagne coordonnée de logiciels malveillants connue sous le nom de TrapDoor a touché les écosystèmes logiciels largement utilisés par les développeurs de crypto et de blockchain.
Les chercheurs en sécurité ont identifié des dizaines de packages malveillants répartis dans les principaux référentiels open source, tous conçus pour voler des données sensibles des développeurs telles que les clés de portefeuille, les informations d'identification cloud et les jetons d'accès au code source.
Au lieu d’un seul téléchargement malveillant, les attaquants ont déployé plusieurs packages par vagues en utilisant différents comptes.
Cette approche a rendu l’activité plus difficile à détecter dès les premiers stades et a permis au malware de se fondre dans les mises à jour de routine des dépendances.
Attaque coordonnée dans les principaux écosystèmes de développeurs
L'opération TrapDoor a affecté au moins trois écosystèmes de packages majeurs : npm, PyPI et Crates.io.
Ensemble, les chercheurs ont identifié plus de 30 packages malveillants et plus de 300 versions affectées distribuées dans un court laps de temps.
L’activité aurait commencé vers le 22 mai 2026, bien que GitHub ait signalé un accès non autorisé aux référentiels internes le 20 mai. Elle s’est ensuite rapidement intensifiée au cours des jours suivants.
Les colis ne constituent pas des incidents isolés. Au lieu de cela, ils semblaient faire partie d’une stratégie de publication coordonnée impliquant plusieurs comptes de développeurs.
Cette structure suggère une planification plutôt qu’un abus opportuniste. Chaque package présentait des modèles de comportement similaires et pointait vers un cadre malveillant commun utilisé par les attaquants.
Comment le malware TrapDoor fonctionne dans les systèmes des développeurs
Une fois installés, les packages TrapDoor s'exécutent automatiquement via les processus de construction et d'installation standard utilisés dans les environnements de développement modernes.
Dans les packages JavaScript, le code malveillant est déclenché via des scripts de post-installation, qui s'exécutent immédiatement après l'ajout d'une dépendance.
Dans les packages Python, le malware peut s'activer lors de l'importation, lui permettant de s'exécuter sans aucun appel de fonction explicite.
Les packages Rust utilisent des scripts de build pour obtenir le même résultat lors de la compilation.
Après son exécution, le malware analyse les systèmes locaux à la recherche de données précieuses. Cela inclut les clés SSH, les jetons API et les fichiers de configuration couramment utilisés dans les workflows de développement cloud et blockchain.
Il cible également les informations d'identification et les variables d'environnement stockées dans le navigateur, qui contiennent souvent des données d'authentification sensibles.
Les informations volées sont ensuite envoyées à des serveurs externes contrôlés par les attaquants.
Dans certains cas, le logiciel malveillant tente de maintenir la persistance en modifiant les processus de démarrage ou en insérant des hooks malveillants dans les outils de développement.
Ciblage axé sur la cryptographie et vol de données de grande valeur
Ce qui rend cette campagne particulièrement préoccupante, c’est l’accent mis sur les environnements de développement liés à la cryptographie.
Le malware recherche spécifiquement les fichiers et les informations d'identification liés au portefeuille cryptographique lié à des plates-formes telles que les outils basés sur Coinbase, MetaMask, Binance et Solana.
Il cible également les informations d'identification de l'infrastructure cloud provenant de fournisseurs tels que les jetons d'accès AWS et GitHub.
Ceux-ci sont particulièrement précieux car ils peuvent fournir aux attaquants un accès direct aux référentiels privés, aux pipelines de déploiement et aux systèmes backend.
De plus, le malware tente de collecter des clés SSH susceptibles de permettre un accès à distance aux machines des développeurs ou aux serveurs de production.
Cette combinaison de cibles offre aux attaquants un large éventail de points d'entrée dans les systèmes personnels et d'entreprise.
Les outils de développement de l’IA également sous pression
L'un des éléments les plus inhabituels de la campagne TrapDoor est son interaction avec des environnements de développement assistés par l'IA.
Certains packages malveillants incluent des fichiers de configuration conçus pour influencer les assistants de codage et les outils de développement automatisés.
Des fichiers tels que .cursorrules et CLAUDE.md auraient été utilisés pour manipuler les assistants de codage de l'IA afin qu'ils effectuent des actions susceptibles d'exposer des informations sensibles.
Au lieu de pirater directement les systèmes, les attaquants ont tenté d’exploiter la manière dont les outils d’IA interprètent les instructions du projet.
Cette approche reflète un changement dans les méthodes d’attaque.
Plutôt que de cibler uniquement l'exécution de code, la campagne tente également d'influencer les flux de travail des développeurs qui s'appuient sur des suggestions générées par l'IA et des analyses automatisées.