Kritisk sikkerhedsadvarsel: Massivt angreb på softwareforsyningskæden
Cybersecurity-laboratoriet SlowMist har udstedt en nødsikkerhedsadvarsel med koden SM-2026-352284. Der er blevet opdaget et aktivt angreb på softwareforsyningskæden, der målretter mod skabere af Web3- og AI-produkter.
Hackere injicerede mere end 34 ondsindet pakker og 384 tilknyttede versioner i de største repositories, herunder npm, PyPI og Crates.io. Angrebene er direkte målrettet mod udviklere i Solana-, DeFi- og AI-økosystemerne.
Kontekst og ændring i angrebstaktik
Hændelsen finder sted på baggrund af april, hvor DeFi-sektoren mistede rekordstore 635 millioner dollar på tværs af 28 hack-angreb. Selvom antallet af direkte smart contract-exploits faldt i maj, viser SlowMist’s telemetri en fundamental ændring i angribernes taktik.
Trusselaktører har flyttet deres fokus fra at angribe beskyttede servere til hemmeligt at kompromittere ingeniørers personlige enheder. SlowMist’s analyse viste, at TrapDoor er designet til fuldstændig kompromittering af udvikler-workstations.
Malwarens funktionalitet og persistensmekanismer
Malwaren stjæler:
- Kryptovaluta-tegnebøger
- Cloud-tokens såsom AWS og GitHub-legitimationsoplysninger
- Adgangsnøgler
Alt dette sendes til adresser kontrolleret af angriberne. Angrebsmønsteret gentager logikken fra det velkendte npm-angreb “Mini Shai-Hulud”.
For at opretholde skjult persistens i systemet skriver payloaden sig selv direkte ind i AI-assistentkonfigurationsfiler såsom .cursorrules og CLAUDE.md, mens den også gemmer sig inden i Git hooks og automatiseringsskripter.
Forklædning og “vibe coding”-trenden
I repositories er softwaren forklædt som AI-plugins og build-værktøjer til Sui og Move. Hændelsen forværres af trenden “vibe coding”, hvor ingeniører samler projekter gennem prompts og blindt forbinder dusinvis af indlejrede biblioteker.
Som følge heraf downloader AI-agenter automatisk ondsindet kode på maskiner, hvor smart editors har direkte adgang til lokale konfigurationsfiler.
Anbefalede handlinger
På grund af trusselens kritiske karakter instruerer SlowMist teams i at:
- Fjerne de berørte pakker øjeblikkeligt
- Isolere inficerede systemer
- Bevare logs
- Lancere en tre-trins sanerings-protokol
