Une nouvelle attaque de chaîne d'approvisionnement NPM compromet des bibliothèques majeures d'ENS et de crypto

Une importante attaque de la chaîne d'approvisionnement JavaScript a compromis des centaines de paquets logiciels — y compris au moins 10 largement utilisés dans l'écosystème crypto — selon une nouvelle recherche de la société de cybersécurité Aikido Security.

Dans un post de lundi, Charlie Eriksen, un chercheur chez Aikido Security, a partagé les noms de plus de 400 paquets montrant des signes d'infection par le malware auto-réplicant “Shai Hulud” utilisé dans une attaque en cours sur la chaîne d'approvisionnement des bibliothèques JavaScript NPM. Eriksen a déclaré qu'il avait validé chaque détection pour éviter les faux positifs.

De nombreux packages liés aux cryptomonnaies reçoivent des dizaines de milliers de téléchargements par semaine et ont de nombreux autres packages qui nécessitent leur fonctionnement. Dans un post X publié plus tôt aujourd'hui, Eriksen a également averti l'équipe du Service de Nom Ethereum (ENS) que plusieurs de leurs packages sont affectés.

Source: Charlie EriksenShai Hulud fait partie d'une tendance plus large d'attaques sur la chaîne d'approvisionnement. Début septembre, la plus grande attaque NPM signalée à ce jour a vu des hackers ne voler que $50 million de crypto. Amazon Web Services a noté que cette première attaque a été suivie par le ver Shai-Hulud se propageant de manière autonome juste une semaine plus tard.

Alors que l'attaque précédente visait directement la crypto pour voler des actifs, Shai-Hulud est un logiciel malveillant de vol d'identifiants à usage général qui se propage de manière autonome à travers l'infrastructure des développeurs. Si l'environnement infecté contient des clés de portefeuille, le logiciel malveillant les volera en tant que “secrets” comme tout autre identifiant.

Lié : L'échec de l'exploitation NPM met en lumière la menace imminente pour la sécurité crypto : Exécutif

Quels paquets cryptographiques sont affectés ?

Parmi tous les packages affectés, au moins 10 étaient spécifiquement liés à l'industrie de la cryptomonnaie, et presque tous étaient liés à l'ENS, un service de noms d'adresse lisibles par l'homme. Parmi les packages affectés figurent le content-hash de l'ENS, avec près de 36 000 téléchargements hebdomadaires, et 91 packages logiciels qui en dépendent, ainsi que l'address-encoder, avec plus de 37 500 téléchargements hebdomadaires.

D'autres paquets ENS affectés incluent ensjs ( plus de 30 000 téléchargements hebdomadaires ), ens-validation ( 1 750 téléchargements hebdomadaires ), ethereum-ens ( 12 650 téléchargements hebdomadaires ), et ens-contracts ( près de 3 100 téléchargements hebdomadaires ). Un paquet lié aux cryptomonnaies, sans lien avec l'ENS, appelé crypto-addr-codec, a également été compromis, avec presque 35 000 téléchargements.

Lié : $27 millions disparus, aucune clé privée exposée : Comment le piratage de BigONE s'est produit

Paquets non-crypto populaires affectés

Les packages non liés aux crypto-monnaies affectés incluent certains offerts par la plateforme d'automatisation d'entreprise Zapier, y compris un avec plus de 40 000 téléchargements par semaine et beaucoup d'autres pas très loin derrière. Dans un post ultérieur, Eriksen a signalé d'autres packages qui étaient infectés, certains avec près de 70 000 téléchargements hebdomadaires, et un autre package dépassant bien plus de 1,5 million de téléchargements hebdomadaires.

« La portée de cette nouvelle attaque de Shai Hulud est franchement massive ; nous travaillons encore à travers la file d'attente pour tout confirmer », a écrit Eriksen sur X.

« Cela fera paraître la précédente attaque comme rien. »

Les chercheurs de la société de cybersécurité Wiz affirment avoir “repéré plus de 25 000 dépôts affectés chez ~350 utilisateurs uniques, 1 000 nouveaux dépôts étant ajoutés de manière cohérente toutes les 30 minutes au cours des dernières heures.” La société recommande une “enquête et une remédiation immédiates” pour tout environnement utilisant npm.

Magazine : ‘Au secours ! Mon aspirateur robot vole mon Bitcoin’ : Quand les appareils intelligents attaquent

• #Sécurité
• #Ethereum
• #Malware
• #Hackers
• #Cybersécurité
• #ENS
• #Chaîne d'approvisionnement
• #Hacks Ajoutez une réaction