Hackers plantaram 34 pacotes maliciosos em três grandes ecossistemas de código aberto, roubando silenciosamente credenciais de nuvem, chaves SSH e dados de carteiras blockchain de desenvolvedores que nunca desconfiaram de nada.
O que mudou agora
A campanha, chamada TrapDoor, foi divulgada pela primeira vez em 24 de maio de 2026 pela equipe de pesquisa de segurança da Socket.dev, que encontrou os pacotes envenenados espalhados pelo npm, PyPI e Crates.io. Com 384 versões publicadas no total, a operação visou desenvolvedores em criptomoedas, DeFi, Solana, IA e pesquisa de segurança. Simplesmente instalar ou construir um pacote foi suficiente para acionar o código malicioso, sem nenhuma ação adicional necessária da vítima.
O que tornou a TrapDoor particularmente perigosa foi a forma como ela se encaixava naturalmente nos fluxos de trabalho normais de desenvolvedores. Os atacantes usaram os próprios mecanismos de cada ecossistema para acionar a lógica maliciosa automaticamente. No PyPI, o código foi disparado no momento em que um pacote foi importado. No Crates.io, ele foi executado durante a fase de compilação. No npm, ele foi iniciado silenciosamente logo após a conclusão da instalação, sem levantar nenhum alerta.
Vetor e exploração
Analistas da SlowMist, usando seu sistema de inteligência de ameaças MistEye, identificaram atividade de pacotes maliciosos em todos os três ecossistemas e conduziram uma análise técnica profunda. Suas descobertas revelaram uma campanha construída em torno de uma filosofia central: desenvolver o ataque uma vez e reutilizá-lo em todos os ecossistemas.
Os dados roubados incluíam chaves AWS, tokens do GitHub, chaves de API da OpenAI, chaves privadas SSH, arquivos de carteira blockchain, bancos de dados de login de navegador e variáveis de ambiente contendo senhas ou segredos. A amostra do npm foi ainda mais longe, tentando quebrar senhas fracas em arquivos de keystore do Ethereum e executar comandos remotos em máquinas infectadas.
Impacto e alcance
O escopo combinado do roubo foi amplo o suficiente para dar aos atacantes acesso a contas pessoais e qualquer infraestrutura de nuvem que um desenvolvedor gerenciava. A infraestrutura por trás da TrapDoor foi deliberadamente projetada para evitar detecção. Em vez de depender de domínios desconhecidos, os atacantes rotearam dados roubados através do GitHub Pages, GitHub Gist e webhook.site, todos serviços que firewalls empresariais permitem e confiam rotineiramente.
Isso fez com que as credenciais exfiltradas se misturassem ao tráfego de aparência normal, tornando difícil para as ferramentas de segurança sinalizar qualquer coisa suspeita.
Medidas de mitigação recomendadas
Desenvolvedores que suspeitam de exposição devem remover os pacotes afetados, girar todas as credenciais potencialmente comprometidas e limpar arquivos .cursorrules, CLAUDE.md, hooks do Git e arquivos de shell de quaisquer referências a P-2024-001, ddjidd564 ou dev-env-bootstrapper. Equipes de segurança também devem adicionar indicadores relacionados à TrapDoor às suas regras de detecção de CI/CD imediatamente.
O que diferenciou a amostra do npm foi um módulo de propagação sofisticado que foi além do simples roubo de credenciais. Uma vez instalado, o token-usage-tracker reescreveu arquivos .cursorrules e CLAUDE.md nos diretórios de projeto da vítima, injetando instruções que manipulavam ferramentas de codificação de IA como Cursor e Claude Code para executar ações maliciosas durante sessões futuras.
O que os CISOs devem fazer imediatamente
A segurança de cadeia de suprimentos de software tornou-se uma prioridade crítica. A monitoração de dependências, a verificação de integridade de pacotes e a restrição de execução de código não autorizado são essenciais para mitigar riscos como a campanha TrapDoor. A adoção de práticas de desenvolvimento seguro e a auditoria regular de dependências devem ser reforçadas para prevenir infecções futuras.