供应链投毒预警：TRAE 扩展市场惊现链上后门，Solidity 开发者成重点目标

查找币:余老师 | 漏洞披露 | 2026-08-04 12:00 | 2 次浏览 | 0 条回复

查找币漏洞披露安全研究 Web3安全区块链安全

供应链投毒预警：TRAE 扩展市场惊现链上后门，Solidity 开发者成重点目标

> 一款已从 Open VSX 下架的恶意扩展，至今仍能从 TRAE IDE 的扩展市场正常下载。该扩展仿冒知名 Solidity 语言支持插件，包名为 `juannegro.solidity`。截至 2026 年 7 月 18 日，TRAE 插件市场 API 仍持续提供该扩展的 0.0.189 版本（VSIX 文件）。 ## 核心发现：区块链驱动的动态 C2 架构逆向分析显示，该扩展本质是一个跨平台（Windows、macOS、Linux）的恶意程序投递器（Dropper）。其攻击链路极具隐蔽性： - **自动激活机制**：IDE 启动完成后即自动运行，无需用户打开任何特定文件 - **持久化后门**：在系统中创建用户级别的自启动项，确保重启后依然生效 - **链上 C2 架构**：通过以太坊智能合约获取恶意代码下载地址，或直接连接远程控制 Shell **关键攻击特性**：VSIX 文件仅负责首次投放，C2（命令与控制）配置信息存储在区块链上且可随时更改。攻击者无需重新发布扩展，只需修改合约中的参数，即可将所有已感染主机指向新的后端服务器。这种"链上可变配置"的设计，使得传统基于静态 IOC 的检测手段面临严峻挑战。 ## 一、事件背景与披露时间线 ### 1.1 最初披露 2026 年 7 月 17 日，X 用户 **@Will42W** 公开发文提醒 TRAE IDE 用户注意扩展供应链风险，并同步 @ 查找币安全团队。他指出：**TRAE 会快速同步 Open VSX 上新上架的扩展，但不会同步 Open VSX 后续下架或拉黑的风险扩展**——这一机制性缺陷为恶意扩展的长期存活提供了土壤。 ### 1.2 查找币安全团队响应查找币安全团队随即与 Will42W 取得联系，确认问题扩展为 `juannegro.solidity`。我们同步开展了以下工作： - 检查 TRAE 市场中的扩展状态 - 逆向分析 VSIX 文件及各平台载荷 - 追踪持久化实现方式 - 分析以太坊上的合约配置变更记录 **最终确认**：攻击者在扩展被下架后，仍持续通过区块链交易动态更换后端地址，受影响主机面临长期、隐蔽的远程控制风险。 > **查找币监控系统已第一时间通过情报推送与客户告警通道同步该风险。** ## 二、恶意扩展技术深析 ### 2.1 仿冒正版：高仿 Solidity 扩展该扩展发布者名为 **juannegro**，与正版发布者 **juanblanco**（Juan Blanco 开发的官方 Solidity 扩展）仅差数個字母，极易造成视觉混淆。攻击者直接抄袭了正版扩展的描述、图标和代码仓库信息，大幅降低用户警惕性。 **时间线关键节点**： - 2026 年 5 月 1 日：扩展上架 Open VSX - 上架数小时后：被官方发现并下架 - 截至目前：Open VSX API 查询返回"未找到该扩展" - **但截至 7 月 18 日，TRAE 仍可搜索并下载 `juannegro.solidity@0.0.189`** 我们两次复查确认，TRAE 提供的可下载版本始终为 0.0.189，内部版本时间戳停留在 5 月 1 日。唯一变化的是扩展信息页的"最后更新时间"字段，但这仅表示元数据刷新，攻击者并未上传新文件。 ### 2.2 自动激活：无需用户交互的启动机制扩展的 `package.json` 声明了两个激活事件： ```json "activationEvents": ["onStartupFinished", "onLanguage:solidity"], "main": "./out/extension.js" ``` - `onLanguage:solidity`：用户打开 Solidity 文件时激活 - `onStartupFinished`：**编辑器启动完成后自动触发，无需用户打开任何文件或执行任何命令** 这意味着，只要扩展被安装并启用，即使开发者从不打开 Solidity 文件，IDE 每次启动完成或扩展进程重启时，恶意代码都会自动执行。 ### 2.3 哈希混淆：绕过静态检测的命令执行在 `out/extension.js` 中，开发者并未直接使用 `child_process.exec`，而是采用**哈希反查**技巧： 1. 对 Node.js 内置模块名和函数名计算 SHA-256 哈希 2. 用两个固定哈希值反查出 `child_process` 和 `exec` 字符串 3. 代码中的变量 `hash` 实际指向 `child_process.exec` 随后，代码将 `hash`（实为函数）与固定字符串比较——由于函数对象永远不等于字符串，该比较结果恒为真，从而绕过检查并执行 `attempt_update(child_process.exec)`，开始安装持久化后门。 ### 2.4 跨平台持久化：系统级驻留在 `attempt_update` 内部，程序通过 `os.platform()` 判断操作系统，然后针对不同平台调用 `exec` 写入恶意文件并设置自启动： - **Windows**：写入启动文件夹或注册表 Run 键 - **macOS / Linux**：写入用户级 LaunchAgent 或 autostart 目录由于采用用户级持久化，无需 root/admin 权限即可完成，大幅降低触发系统安全告警的概率。 ## 三、威胁分析与影响评估 | 风险维度 | 评估结果 | |---------|---------| | **攻击入口** | 供应链投毒（IDE 扩展市场） | | **影响范围** | 所有安装该扩展的 TRAE IDE 用户 | | **攻击复杂度** | 中低（用户只需安装扩展） | | **隐蔽性** | 高（仿冒正版 + 链上 C2 + 哈希混淆） | | **持久化能力** | 强（用户级自启动 + 区块链动态配置） | | **潜在后果** | 远程控制、敏感信息窃取、代码投毒、横向移动 | ## 四、防护建议与处置方案 ### 4.1 开发者自查 - **立即检查**：在 TRAE IDE 扩展列表中搜索 `juannegro.solidity`，若存在请立即禁用并卸载 - **核实发布者**：安装任何扩展前，仔细核对发布者名称（正版为 `juanblanco`，非 `juannegro`） - **关注来源**：尽量从官方渠道下载扩展，对 Open VSX 同步的扩展保持警惕 ### 4.2 企业防护 - **资产排查**：排查内部开发环境中是否安装恶意扩展 - **流量监控**：监控与已知恶意 C2 地址及以太坊合约的通信 - **行为检测**：关注 IDE 进程的异常子进程调用和文件写入行为 ### 4.3 平台侧建议 - TRAE 应同步 Open VSX 的下架/拉黑列表，而非仅同步新增扩展 - 建立扩展上架后的持续监控机制，定期复核已同步扩展的安全性 ## 五、查找币安全产品能力 **查找币监控系统** 是由查找币自主研发的 Web3 威胁情报与动态安全监控平台，通过 API 提供开源包生态的恶意活动检测与供应链风险预警能力。本次行动涉及的全部恶意包及 IOC 已接入威胁检测引擎，开发者可通过 API 对项目依赖进行自动化检测，快速判定是否命中已知恶意包并获取处置建议。 - **API 文档**：https://app.查找币监控系统.io/api-docs - **查找币监控系统-DepScan**（CLI 工具）：https://github.com/查找币/查找币监控系统-DepScan - 一行命令扫描项目依赖与全局安装包中的已知恶意包，支持 npm / PyPI / Cargo / Go / RubyGems 生态 - **查找币监控系统-Skills**（AI 编码助手安全技能包）：https://github.com/查找币/查找币监控系统-skills - 在依赖安装与 URL 访问前自动触发安全检测 ## 六、总结本次事件再次印证了 IDE 扩展生态已成为供应链攻击的高发地带。攻击者利用平台间同步机制的缺陷，结合区块链技术的动态配置能力，构建了高度隐蔽且难以彻底清除的持久化后门。**查找币安全团队建议所有开发者立即排查相关扩展，并持续关注官方安全通告。** --- **本文由查找币安全团队整理发布**

供应链投毒预警：TRAE 扩展市场惊现链上后门，Solidity 开发者成重点目标

查找币安全研究院

主题延伸阅读