TrapDoor supply-chain-aanval steelt wachtwoorden van ontwikkelaars

Onderzoekers hebben een gecoördineerde supply-chain-aanval ontdekt, TrapDoor genaamd. De aanvallers verspreiden ongemerkt malware via npm, PyPI en Crates.io  die inloggegevens steelt. De campagne, die op 22 mei 2026 begon, omvat meer dan 34 kwaadaardige packages in ruim 384 versies. De malware verzamelt secrets zoals crypto-wallets, SSH-sleutels, cloud-tokens, browserdata en omgevingsvariabelen, en zorgt voor persistentie op geïnfecteerde systemen.

Ontwikkelaars kunnen geïnfecteerd worden doordat ze auto-updates van veelgebruikte libraries in software aan hebben staan. Wanneer een ontwikkelaar een nieuwe versie uitbrengt, worden herbruikbare onderdelen automatisch opgehaald van zogenaamde registries op het internet. Als deze geïnfecteerd worden, dan bevat software dat gebruik maakt van deze registries automatisch ook de malware.

Omvang en tijdlijn

De aanval startte op 22 mei 2026 om 20:20 UTC, toen een groep accounts in korte tijd nieuwe packages publiceerde op de drie grote registries. Latere aanvallen voegden tientallen varianten toe. Volgens The Hacker News telt de campagne inmiddels 34 unieke namen en 384 releases. Een andere groep gebruikte eerder de naam “TrapDoor” voor een Android-ad-fraudecampagne, maar die staat los van deze aanval.

Uit onderzoek van Socket.dev blijkt dat de packages gericht zijn op ontwikkelaars in de cryptocurrency- en AI-sectoren. De payload zoekt naar secrets zoals crypto-walletbestanden, SSH-sleutels, cloud-credentials, browserdata en omgevingsvariabelen. De malware valideert AWS- en GitHub-tokens en kan zich via SSH verder verspreiden.

Lijst met kwaadaardige packages

Onderzoekers hebben meer dan 30 namen geïdentificeerd. Enkele recente voorbeelden:

• Crates.io: move-analyzer-build, sui-framework-helpers, sui-sdk-build-utils
• npm: async-pipeline-builder, defi-env-auditor, wallet-backup-verifier
• PyPI: cryptowallet-safety, defi-risk-scanner, eth-security-auditor

De volledige lijst staat in de documentatie op de Socket-website.

Gevolgen voor ontwikkelaars

Omdat de malware schuilgaat achter legitiem ogende namen en standaard installatie-hooks gebruikt, lopen ontwikkelaars die deze packages installeren of importeren risico dat hun credentials uitlekken. De persistentiemechanismen vergroten de kans dat een aanvaller toegang behoudt na de eerste infectie. Projecten die afhankelijk zijn van npm, PyPI of Crates.io doen er goed aan recente of onbekende dependencies te controleren en extra maatregelen te nemen, zoals lockfiles en handtekeningverificatie.