Hacker haben mit der TrapDoor-Malware heimlich Krypto- und KI-Entwickler ins Visier genommen und Wallets, Anmeldedaten, SSH-Schlüssel sowie sensible Zugangsdaten zu Unternehmensnetzwerken gestohlen.
Ein hinterhältiger Cyberangriff zielt auf Softwareentwickler ab. Genauer gesagt richtet er sich an Personen, die im Bereich Kryptowährung und KI tätig sind. Der Angriff wurde am Freitag von einem Unternehmen namens Socket entdeckt. Am Sonntag veröffentlichten sie dann einen Bericht darüber. Die Malware-Kampagne wurde von Socket als „TrapDoor“ bezeichnet.
Der Angriff umfasst über 34 bösartige Pakete. Außerdem gibt es 384 zugehörige Versionen auf npm, PyPI und Crates.io. Dies sind Websites, auf denen Entwickler nützliche Tools und Code herunterladen können.
🚨 BREAKING: Active supply chain attack across npm, PyPI, and Crates.io.
Socket detected TrapDoor, a crypto stealer campaign hitting 34 malicious packages and 384 versions and artifacts, with attackers repeatedly pushing new releases across ecosystems.
TrapDoor targets… pic.twitter.com/0CI758NJ6T
— Socket (@SocketSecurity) May 24, 2026
Mit anderen Worten: Hacker versteckten ihre gefährliche Software in Tools, denen Entwickler bereits vertrauen. Beispielsweise wurden Pakete mit Namen wie „solidity-deploy-guard“ und „defi-threat-scanner“ getarnt.
Darüber hinaus veröffentlichten die Angreifer über das Wochenende weiterhin neue gefälschte Pakete. Sie luden sie in Wellen auf allen drei Plattformen hoch. Dies machte es wesentlich schwieriger, den Angriff zu verfolgen und schnell zu neutralisieren.
Was TrapDoor von Entwicklern stiehlt
Sobald der Entwickler ein gefälschtes Paket installiert, ist die Malware sofort aktiv. Sie stiehlt nicht nur eine Sache. Stattdessen nimmt sie sich alles, was sie auf dem Computer finden kann.
Beispiele für ins Visier genommene Daten sind SSH-Schlüssel, Krypto-Wallets, AWS-Cloud-Anmeldedaten, GitHub-Tokens und Browser-Login-Datenbanken. Diese sind vergleichbar mit einem Hauptschlüssel für die gesamte digitale Existenz einer Person. Darüber hinaus werden gestohlene SSH-Schlüssel genutzt, um weiteren Zugang zum Netzwerk eines Entwicklers zu erlangen. Das bedeutet, dass ein einzelner infizierter Rechner ein Tor zu einem Unternehmen sein kann.
Verwandte Lektüre: Coinbase sieht sich rechtlichen Auseinandersetzungen wegen eingefrorener Kryptowährungen im Zusammenhang mit einem 55-Millionen-Dollar-Hack ausgesetzt | Live Bitcoin News
TrapDoor verwendet zudem eine sehr eigenartige Technik. Insbesondere verstecken die Angreifer Anweisungen in den Projektdateien mit unsichtbaren Zeichen. Dies täuscht KI-Assistenten wie Cursor und Claude Code, sodass sie vorgetäuschte „Sicherheitsscans“ durchführen. Diese gefälschten Scans stehlen dann heimlich Entwicklergeheimnisse. Dennoch sieht der Angriff von außen völlig normal aus.
Außerdem stellten die Angreifer Anfragen, Code zu beliebten Open-Source-Projekten hinzuzufügen. Sie fügten schädliche Dateien ein, um sicherzustellen, dass diese Projekte für jeden, der sie kopiert, schädlich wären. So breit und gerissen war die Falle.
Wie schnell wurde der Angriff entdeckt?
Glücklicherweise reagierten die Sicherheitssysteme von Socket sehr schnell. Die mittlere Erkennungszeit betrug nur 5 Minuten und 27 Sekunden. Tatsächlich erfolgte die schnellste Erkennung nur 58 Sekunden nach der Veröffentlichung eines Pakets. Das ist nach jedem Maßstab eine ziemlich schnelle Reaktionszeit.
Allerdings bedeutet eine schnelle Erkennung nicht, dass alle sicher sind. Die Kampagne hatte seit mindestens dem 19. Mai still und leise an Fahrt gewonnen. Die Angreifer ließen über das lange Wochenende Welle um Welle von Veröffentlichungen los. Daher könnten einige Pakete heruntergeladen worden sein, bevor jemand sie als unsicher markierte.
Diejenigen, die in dieser Zeit eines dieser Tools installiert haben, könnten bereits verwundbar sein. Daher fordern Experten Entwickler auf, ihre kürzlich installierten Pakete sorgfältig zu überprüfen. Jegliche verdächtige Aktivität sollte sofort untersucht werden.
Darüber hinaus haben die Angreifer bösartigen Code in Paketen versteckt, die Entwickler täglich verwenden. Das macht TrapDoor so tödlich. Es fügt sich nahtlos in die reguläre Arbeit ein.
Abschließend ist es eine ernste Warnung an die Entwicklergemeinschaft. Tools, die völlig sicher erscheinen, können gefährlich sein. Am wichtigsten ist, dass Entwickler wachsam bleiben, ihre Tools überprüfen und sich potenzieller Datenlecks bewusst sein müssen. Der beste Schutz gegen Angriffe wie diesen ist Vorsicht.
Schreibe einen Kommentar