Un acteur malveillant inconnu a \u00e9t\u00e9 observ\u00e9 en train de publier des packages typosquat dans le r\u00e9f\u00e9rentiel Python Package Index (PyPI) pendant pr\u00e8s de six mois dans le but de diffuser des logiciels malveillants capables de gagner en persistance, de voler des donn\u00e9es sensibles et d’acc\u00e9der \u00e0 des portefeuilles de crypto-monnaie pour obtenir un gain financier.<\/p>\n
Les 27 packages, qui se faisaient passer pour des biblioth\u00e8ques Python l\u00e9gitimes et populaires, ont attir\u00e9 des milliers de t\u00e9l\u00e9chargements, a d\u00e9clar\u00e9 Checkmarx dans un nouveau rapport. La majorit\u00e9 des t\u00e9l\u00e9chargements proviennent des \u00c9tats-Unis, de Chine, de France, de Hong Kong, d’Allemagne, de Russie, d’Irlande, de Singapour, du Royaume-Uni et du Japon.<\/p>\n
“Une caract\u00e9ristique d\u00e9terminante de cette attaque \u00e9tait l’utilisation de la st\u00e9ganographie pour cacher une charge utile malveillante dans un fichier image d’apparence innocente, ce qui a accru la furtivit\u00e9 de l’attaque”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement en logiciels. dit<\/a>.<\/p>\n Certains des paquets sont pyefflorer, pyminor, pyowler, pystallerer, pystob et pywool, dont le dernier a \u00e9t\u00e9 plant\u00e9 le 13 mai 2023.<\/p>\n Un d\u00e9nominateur commun \u00e0 ces packages est l’utilisation du script setup.py pour inclure des r\u00e9f\u00e9rences \u00e0 d’autres packages malveillants (c’est-\u00e0-dire pystob et pywool) qui d\u00e9ploient un script Visual Basic (VBScript) afin de t\u00e9l\u00e9charger et d’ex\u00e9cuter un fichier nomm\u00e9 “Runtime. exe” pour obtenir la persistance sur l’h\u00f4te.<\/p>\n Le binaire contient un fichier compil\u00e9 capable de collecter des informations \u00e0 partir de navigateurs Web, de portefeuilles de crypto-monnaie et d’autres applications.<\/p>\n Une cha\u00eene d’attaque alternative observ\u00e9e par Checkmarx aurait cach\u00e9 le code ex\u00e9cutable dans une image PNG (“uwu.png”), qui est ensuite d\u00e9cod\u00e9e et ex\u00e9cut\u00e9e pour extraire l’adresse IP publique et l’identifiant universellement unique (UUID<\/a>) du syst\u00e8me concern\u00e9.<\/p>\n Pystob et Pywool, en particulier, ont \u00e9t\u00e9 publi\u00e9s sous couvert d’outils de gestion d’API, uniquement pour exfiltrer les donn\u00e9es vers un webhook Discord et tenter de maintenir la persistance en pla\u00e7ant le fichier VBS dans le dossier de d\u00e9marrage de Windows.<\/p>\n “Cette campagne constitue un nouveau rappel brutal des menaces omnipr\u00e9sentes qui existent dans le paysage num\u00e9rique d’aujourd’hui, en particulier dans les domaines o\u00f9 la collaboration et l’\u00e9change ouvert de code sont fondamentaux”, a d\u00e9clar\u00e9 Checkmarx.<\/p>\n Le d\u00e9veloppement intervient sous le nom de ReversingLabs d\u00e9couvert<\/a> une nouvelle vague de logiciels de protestation npm qui \u00ab cachent des scripts diffusant des messages de paix li\u00e9s aux conflits en Ukraine, en Isra\u00ebl et dans la bande de Gaza \u00bb.<\/p>\n L’un des packages, nomm\u00e9 @snyk\/pull-peigne<\/a> (version 2.1.1), d\u00e9termine la situation g\u00e9ographique de l’h\u00f4te, et s’il s’av\u00e8re qu’il s’agit de la Russie, affiche un message critiquant \u00ab l’invasion injustifi\u00e9e \u00bb de l’Ukraine \u00e0 travers un autre module appel\u00e9 \u00abes5-ext<\/a>“.<\/p>\n Un autre paquet, e2eakarev<\/a>a la description \u00ab paquet de protestation gratuit contre la Palestine \u00bb dans le fichier package.json et effectue des v\u00e9rifications similaires pour voir si l’adresse IP correspond \u00e0 Isra\u00ebl, et si c’est le cas, enregistre ce qui est d\u00e9crit comme un \u00ab message de protestation inoffensif \u00bb qui exhorte les d\u00e9veloppeurs \u00e0 sensibiliser \u00e0 la lutte palestinienne.<\/p>\n Il ne s\u2019agit pas uniquement d\u2019acteurs malveillants qui infiltrent les \u00e9cosyst\u00e8mes open source. Plus t\u00f4t cette semaine, GitGuardian r\u00e9v\u00e9l\u00e9<\/a> la pr\u00e9sence de 3\u00a0938 secrets uniques au total dans 2\u00a0922 projets PyPI, parmi lesquels 768 secrets uniques se sont r\u00e9v\u00e9l\u00e9s valides.<\/p>\n Cela inclut les cl\u00e9s AWS, les cl\u00e9s API Azure Active Directory, les cl\u00e9s d’application GitHub OAuth, les cl\u00e9s Dropbox, les cl\u00e9s SSH et les informations d’identification associ\u00e9es \u00e0 MongoDB, MySQL, PostgreSQL, Coinbase et Twilio.<\/p>\n De plus, bon nombre de ces secrets ont \u00e9t\u00e9 divulgu\u00e9s plus d’une fois, couvrant plusieurs versions, portant le nombre total d’occurrences \u00e0 56\u00a0866.<\/p>\n “R\u00e9v\u00e9ler des secrets dans des packages open source comporte des risques importants pour les d\u00e9veloppeurs et les utilisateurs”, a d\u00e9clar\u00e9 Tom Forbes de GitGuardian. “Les attaquants peuvent exploiter ces informations pour obtenir un acc\u00e8s non autoris\u00e9, se faire passer pour les responsables du paquet ou manipuler les utilisateurs gr\u00e2ce \u00e0 des tactiques d’ing\u00e9nierie sociale.”<\/p>\n La vague continue d’attaques ciblant la cha\u00eene d’approvisionnement de logiciels a \u00e9galement incit\u00e9 le gouvernement am\u00e9ricain \u00e0 publier ce mois-ci de nouvelles directives destin\u00e9es aux d\u00e9veloppeurs et fournisseurs de logiciels afin de maintenir et de sensibiliser \u00e0 la s\u00e9curit\u00e9 des logiciels.<\/p>\n “Il est recommand\u00e9 aux organisations d’acquisition d’attribuer des \u00e9valuations des risques de la cha\u00eene d’approvisionnement \u00e0 leurs d\u00e9cisions d’achat compte tenu des r\u00e9cents incidents tr\u00e8s m\u00e9diatis\u00e9s de la cha\u00eene d’approvisionnement de logiciels”, ont d\u00e9clar\u00e9 la Cybersecurity and Infrastructure Security Agency (CISA), la National Security Agency (NSA) et le Bureau du directeur. du renseignement national (ODNI) dit<\/a>.<\/p>\n “Les d\u00e9veloppeurs et fournisseurs de logiciels devraient am\u00e9liorer leurs processus de d\u00e9veloppement de logiciels et r\u00e9duire les risques de pr\u00e9judice non seulement pour les employ\u00e9s et les actionnaires, mais \u00e9galement pour leurs utilisateurs.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/27-packages-PyPI-malveillants-avec-des-milliers-de-telechargements-ciblant.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n