新聞

軟體供應鏈攻擊的活動頻傳，現在駭客更傾向同時對多個開源套件生態系下手。資安公司Socket揭露一起攻擊行動TrapDoor，目標鎖定加密貨幣、去中心化金融（DeFi）、Solana，以及AI社群開發者，駭客於NPM、PyPI、Crates.io滲透34個套件，上傳至少384個惡意套件版本，目的是竊取開發者的機密資料，包括加密貨幣錢包、SSH金鑰、雲端憑證、瀏覽器資料，以及環境變數。

惡意套件內含的酬載不僅會搜刮憑證，還會檢查AWS與GitHub權杖（token）是否有效，並試圖透過SSH連線橫向移動，此外，駭客也透過Git掛鉤、shell掛鉤、systemd、cron等方式，以便於受害環境持續活動。

Socket最早在PyPI發現這批惡意套件，後續在另外兩個平臺觀察到相關活動，這起事故引起該公司的注意，原因在於這些惡意套件偽裝成通用開發工具，並在多個平臺快速且接連出現。值得留意的是，NPM、PyPI、Crates.io獲報後已下架部分惡意套件，仍有一些尚未移除。

這起攻擊活動另一個特別之處，就是惡意程式TrapDoor會鎖定AI工具發動提示注入攻擊，他們利用零寬度Unicode字元植入隱藏指令，誘使AI助理執行安全掃描或相關的工作流程，藉此找到機密資料並外洩。