Kyberturvallisuusvaroitus: Laajamittainen toimitusketjuun kohdistuva hyökkäys
Kyberturvallisuuslaboratorio SlowMist on antanut hätäturvallisuusvaroituksen (SM-2026-352284) aktiivisesta toimitusketjuun kohdistuvasta hyökkäyksestä. Hakkerit ovat injektoineet yli 34 haittaohjelmapakettia ja 384 niihin liittyvää versiota suurimpiin ohjelmistovarastoihin – npm:ään, PyPI:hin ja Crates.io:hon. Hyökkäys kohdistuu erityisesti Solana-, DeFi- ja AI-ekosysteemien kehittäjiin.
Hyökkäys tapahtuu huolestuttavassa kontekstissa: huhtikuussa DeFi-sektori menetti ennennäkemättömät 635 miljoonaa dollaria 28 hakkerin hyökkäysten seurauksena. Vaikka suoriin älysopimuksiin kohdistuvien hyökkäysten määrä väheni toukokuussa, SlowMistin telemetria paljastaa perustavanlaatuisen muutoksen hyökkääjien taktiikassa. Uhkatekijät ovat siirtäneet painopistettään suojattujen palvelimien hyökkäämisestä kehittäjien henkilökohtaisten laitteiden salaiseen vaarantamiseen.
TrapDoor-haittaohjelma ja sen toimintamekanismi
SlowMistin analyysi osoittaa, että TrapDoor-haittaohjelma on suunniteltu kehittäjien työasemien täydelliseen vaarantamiseen. Se varastaa:
- Kryptowalleteja
- Pilvipalvelun tunnistetietoja (kuten AWS- ja GitHub-tunnuksia)
- Pääsyavaimia
Varastetut tiedot lähetetään hyökkääjien hallitsemiin osoitteisiin. Järjestelmä toistaa tunnetun npm-madon ”Mini Shai-Hulud” logiikkaa.
Pysyvyyden säilyttämiseksi haittaohjelma kirjoittaa itsensä AI-avustajan konfiguraatiotiedostoihin, kuten .cursorrules ja CLAUDE.md, samalla kun se piiloutuu Git-koukuihin ja automaatioihin. Varastoissa ohjelmisto naamioituu AI-laajennuksiksi ja rakennusapuohjelmiksi Sui- ja Move-sovelluksille.
”Vibe coding” -trendi pahentaa riskiä
Tilannetta pahentaa ”vibe coding” -trendi, jossa kehittäjät kokoavat projekteja kehotuksilla ja yhdistävät sokosti kymmeniä sisäkkäisiä kirjastoja. Tämän seurauksena AI-agentit lataavat automaattisesti haittakoodia koneille, joissa älykkäillä editoreilla on suora pääsy paikallisiin konfiguraatiotiedostoihin.
Uhan kriittisyyden vuoksi SlowMist kehottaa kehittäjätiimejä välittömästi poistamaan vaikuttaneet paketit, eristämään infektoidut järjestelmät, säilyttämään lokit ja käynnistämään kolmivaiheisen korjaustoimintaprotokolla.
