AI 定向注入攻击：加密货币窃取供应链攻击新邪招

原创

威胁情报中心
威胁情报中心

奇安信威胁情报中心

2026年5月25日 13:04
北京

在小说阅读器读本章

去阅读

一、事件概述

奇安信威胁情报中心监测到2026年5月22日至5月24日，Socket研究团队发现并披露了一场代号为 \"TrapDoor\" 的大规模跨生态系统供应链攻击活动。该攻击同时针对 npm、PyPI 和 Crates.io 三大主流软件包仓库，发布超过 34 个恶意包 及 384+ 个关联版本，专门针对加密货币、DeFi、Solana 生态和 AI 开发社区的开发者群体进行精确打击。

本次攻击活动具有高度协调性，利用各生态系统特有的执行机制（npm postinstall 钩子、Python 导入时执行、Rust build.rs 构建脚本）实现恶意代码的隐蔽触发，呈现出典型的\"低安装量、高目标价值\"高级供应链威胁特征。

二、攻击技术分析

2.1 攻击向量概览

TrapDoor 展现了跨生态系统的多平台协同攻击能力，针对不同包管理器采用定制化的执行策略：

┌─────────────────────────────────────────────────────────────────┐
│                      TrapDoor 攻击架构                           │
├──────────────┬──────────────┬───────────────────────────────────┤
│   npm 生态    │   PyPI 生态   │         Crates.io 生态            │
├──────────────┼──────────────┼───────────────────────────────────┤
│ postinstall  │ import 时执行 │ build.rs 编译期执行               │
│ 钩子触发     │ 远程 JS 载荷  │ 本地密钥库窃取                     │
│              │ (node -e 执行)│ XOR加密 → GitHub Gist 外泄       │
├──────────────┼──────────────┼───────────────────────────────────┤
│ 共享载荷:    │ 远程载荷托管: │ 硬编码密钥:                       │
│ trap-core.js │ ddjidd564.    │ cargo-build-helper-2026           │
│ (1,149行)    │ github.io     │                                   │
└──────────────┴──────────────┴───────────────────────────────────┘
         │                │                  │
         └────────────────┼──────────────────┘
                          ▼
            ┌─────────────────────────┐
            │   统一 C2 与基础设施     │
            │  ddjidd564.github.io    │
            │  GitHub Gist 数据外泄    │
            │  GitHub PR 传播扩散      │
            └─────────────────────────┘

2.2 npm 平台攻击机制

npm 平台的攻击是该活动中最复杂、最广泛的部分。恶意包通过 postinstall 脚本在安装时自动执行名为 trap-core.js 的共享载荷（48,485 字节，1,149 行）。该载荷具备以下能力：

凭证窃取范围：

• SSH 私钥 (~/.ssh/)
• AWS 凭证（环境变量、配置文件、IMDS）
• GitHub Token（通过 gh auth token 生成及扫描 .npmrc）
• Sui / Solana / Aptos 钱包数据
• 浏览器扩展钱包数据（Chrome/Firefox 钱包插件）
• 浏览器登录数据库和 Cookie
• 环境变量和 .env 文件
• API 密钥（通过 TruffleHog 扫描）

持久化机制（多层驻留）：

凭证验证机制：载荷主动通过 AWS 和 GitHub API 验证窃取凭证的有效性，筛选高价值凭证，提高攻击效率。

横向移动：利用窃取的 SSH 密钥尝试连接其他主机，将受感染的开发机作为跳板入侵组织内网基础设施。

加密方式：npm 载荷采用 Fernet + ECDH 混合加密，远高于典型恶意包的加密水平。

2.3 PyPI 平台攻击机制

PyPI 恶意包采用导入时执行（import-time execution）策略：

1. Python 包在 __init__.py 中植入恶意代码
2. 首次 import 时自动触发
3. 从攻击者控制的 ddjidd564.github.io 下载远程 JavaScript 载荷
4. 通过 node -e 执行下载的 JavaScript 代码

技术优势（攻击者视角）：

• 外部托管载荷可随时更新，无需发布新版 PyPI 包
• Python 与 Node.js 跨语言执行增加分析难度
• 动态获取载荷有助于规避静态检测

2.4 Crates.io (Rust) 平台攻击机制

Crates.io 恶意包专门针对 Sui 和 Move 开发者生态：

1. 利用 Rust 的 build.rs 构建脚本在编译阶段自动执行
2. 搜索本地 Sui 密钥库文件
3. 使用硬编码 XOR 密钥 cargo-build-helper-2026 加密窃取的数据
4. 通过 GitHub Gist API 外泄加密数据

关键影响：

• build.rs 在编译时执行，开发者尚未运行任何包功能即已被感染
• 对使用 Sui/Move 进行智能合约开发的区块链开发者构成严重威胁
• 密钥库（keystore）直接泄露可导致加密资产完全失控

2.5 AI 定向注入攻击（创新手法）

TrapDoor 最独特的攻击维度是针对 AI 编程助手的配置注入：

1. 零宽度 Unicode 字符隐藏指令：在 .cursorrules 和 CLAUDE.md 文件中植入使用零宽字符的隐藏指令
2. 伪装为安全审计：诱导 AI 助手执行\"安全扫描\"工作流，实则在后台收集和窃取敏感数据
3. GitHub Pages 诱饵网站：ddjidd564.github.io/defi-security-best-practices/ 渲染为看似正常的 HTML 网站，试图诱导 AI 助手运行恶意安全扫描
4. AI 工具链 PR 投毒：攻击者向多个知名 AI/开发工具项目提交 PR，试图将恶意配置文件合入主流项目：

• browser-use/browser-use
• langchain-ai/langchain
• langflow-ai/langflow
• run-llama/llama_index
• FoundationAgents/MetaGPT
• OpenHands/OpenHands

2.6 攻击者基础设施与工具链

GitHub 账号 ddjidd564 维护的仓库矩阵：

攻击标记： P-2024-001 在多个组件中重复出现，可用于关联检测。

三、恶意包清单

3.1 npm 恶意包（21个）

第一波：Crypto/DeFi 伪装包（2026-05-21发布）

第二波：AI/开发工具伪装包（2026-05-22至05-24发布）

3.2 PyPI 恶意包（7个）

3.3 Crates.io 恶意包（6个）

四、IOC 指标清单

4.1 域名与基础设施

4.2 恶意行为特征

五、影响评估

5.1 受影响场景

5.2 潜在影响

• 加密资产损失：Sui/Solana/Aptos 钱包密钥被窃取可直接导致资金被盗
• 代码仓库泄露：GitHub Token 失窃可导致私有仓库、CI/CD 配置、密钥文件泄露
• 云服务失陷：AWS 凭证失窃可导致云平台被完全控制
• 内网横向渗透：SSH 密钥复用可导致攻击者从开发机渗透到生产环境
• AI 工具链污染：.cursorrules 和 CLAUDE.md 的持久化可导致持续的数据泄露

六、处置措施

6.1 紧急响应（发现感染后 1 小时内）

1. 立即隔离受感染主机

• 断开网络连接或隔离到受限 VLAN
• 暂停所有云服务 API 密钥和 GitHub Token

2. 终止恶意进程
3. 撤销所有暴露的凭证

• 轮换所有 SSH 密钥对（~/.ssh/id_*）
• 撤销并重置 GitHub Personal Access Tokens
• 轮换 AWS Access Keys / Secret Keys
• 重置云服务平台所有 API 密钥
• 更新所有 .env 文件中的数据库密码和 API 密钥

6.2 清除与恢复（发现感染后 4 小时内）

1. 卸载所有恶意包
2. 清除持久化机制
3. 清除浏览器数据（如怀疑浏览器钱包受影响）

• 导出并迁移加密钱包到新的安全设备
• 重置所有浏览器扩展钱包的助记词

6.3 取证与监控（持续）

1. 检查外泄指标

• 检查是否有数据被上传到攻击者的 GitHub Gist
• 检查浏览器历史中的可疑访问
• 检查 DNS 解析日志中的 ddjidd564.github.io

2. 审查 GitHub 仓库完整性

• 检查是否有未授权的仓库访问日志
• 检查是否有仓库被公开或修改
• 检查 GitHub Actions 工作流是否被注入恶意步骤

3. 检查是否存在异常SSH连接

七、防范建议

7.1 开发团队即时防护

7.2 组织级供应链安全建设

1. 实施依赖审查流水线
2. 建立包管理策略

• 禁止直接从公共仓库安装未经审查的包
• 实施\"引入新依赖需要安全团队审批\"流程
• 维护内部恶意包/作者黑名单并自动同步

3. 强化凭证管理

• 使用硬件安全模块 (HSM) 或密钥管理服务（AWS KMS, HashiCorp Vault）
• 禁止在本地开发环境存储长期有效的云凭证
• 实施短期临时凭证（AWS STS Session Tokens）
• SSH 密钥使用 passphrase 保护，考虑迁移到 SSH 证书

4. AI 开发环境安全

• 将 .cursorrules 和 CLAUDE.md 纳入代码审查范围
• 检查这些文件中是否包含零宽度 Unicode 字符
• 使用工具检测隐藏字符：cat -v .cursorrules 或 hexdump -C
• 在 AI 工具配置中禁用自动执行外部命令

八、情报总结与趋势研判

8.1 攻击演进特征

TrapDoor 代表了供应链攻击的新演进方向：

1. 从\"广撒网\"到\"精准打击\"：不再追求模仿流行包的 typosquatting 下载量，而是伪装成特定领域（Crypto/AI）的专业工具，精准定位高价值目标
2. 从\"单一生态\"到\"跨平台协同\"：同时利用 npm、PyPI、Crates.io 三个生态的差异化执行机制，扩大覆盖面
3. 从\"一次性窃取\"到\"持久化驻留\"：通过 AI 配置文件、系统服务、定时任务建立多层持久化
4. 从\"静默窃取\"到\"AI 工具链投毒\"：创新性地利用 .cursorrules 和 CLAUDE.md 污染 AI 开发助手，将攻击影响延续到未来的开发会话中
5. 从\"简单外联\"到\"基础设施运营\"：攻击者维护完整的文档体系（AUDIT-MATRIX.md、PAYLOAD.md 等），表现出有组织的攻击能力

8.2 近期供应链攻击态势关联

TrapDoor 并非孤立事件。2026 年以来，软件供应链攻击呈现明显加速趋势：

• Shai-Hulud 系列：持续多轮攻击，影响 170+ npm/PyPI 包，5亿+月下载量
• node-ipc 劫持：通过过期域名接管维护者账号发布恶意版本
• Mini Shai-Hulud：通过劫持合法维护者账号大规模发布恶意版本
• TrapDoor：跨生态系统精准攻击 Crypto/AI 开发者

这表明供应链攻击正从 opportunistic（机会主义）向 targeted（定向化）和 organized（组织化）演进。

8.3 预测与预警

基于本次攻击的技术特征，预计未来可能出现以下趋势：

1. AI 开发环境将成为供应链攻击的新焦点：随着 AI 编程助手（Cursor、Claude Code、GitHub Copilot）的普及，.cursorrules、CLAUDE.md、MCP 配置等 AI 工具配置文件将成为持久化攻击的理想载体
2. Crypto 开发者持续成为高价值目标：区块链生态的匿名性和资金直接可转移性使其成为攻击者的首选目标
3. 构建时执行（build-time execution）攻击将增多：Rust 的 build.rs 模式证明编译期执行可有效绕过运行时检测，类似技术可能被应用到其他编译型语言的构建系统中
4. 跨生态关联攻击将更加隐蔽：单一注册表视角难以发现跨平台关联，安全团队需要建立多生态关联分析能力

九、参考来源

1. https://socket.dev/blog/trapdoor-crypto-stealer-npm-pypi-crates#Indicators-of-Compromise