‏کمپین TrapDoor: وقتی پکیج‌های مخرب به ابزارهای هوش مصنوعی هم می‌رسن

محققان شرکت Socket یک کمپین بدافزاری پیچیده به نام TrapDoor رو شناسایی کردن که همزمان سه اکوسیستم بزرگ پکیج‌های متن‌باز رو هدف گرفته: npm، PyPI و Crates.io. این کمپین شامل بیش از ۳۴ پکیج مخرب و ۳۸۴+ نسخه و آرتیفکت مرتبطه و هدفش دزدیدن اطلاعات حساس توسعه‌دهنده‌هاست؛ از کردنشال‌های AWS و توکن‌های GitHub گرفته تا کلیدهای SSH، داده‌های مرورگر، محتوای کیف‌پول رمزارز و فایل‌های پیکربندی محلی.

این کمپین از مکانیزم‌های اجرایی معمول هر اکوسیستم سوءاستفاده می‌کنه تا شناسایی‌شدن رو سخت‌تر کنه. در npm از postinstall scripts استفاده می‌کنه، در PyPI کد مخرب هنگام import اجرا می‌شه و یه فایل جاوااسکریپت از راه دور فچ می‌کنه، و در Crates.io از build scripts زنگ می‌زنه که موقع کامپایل راست اجرا می‌شن. چون هر کدوم از این روش‌ها مخصوص یه اکوسیستم متفاوته، کنترل‌های امنیتی که فقط یه رجیستری رو زیر نظر دارن قادر به شناسایی کل کمپین نیستن.