Les chasseurs de menaces ont d\u00e9couvert un ensemble de sept packages sur le r\u00e9f\u00e9rentiel Python Package Index (PyPI) con\u00e7us pour voler Phrases mn\u00e9moniques BIP39<\/a> utilis\u00e9 pour r\u00e9cup\u00e9rer les cl\u00e9s priv\u00e9es d’un portefeuille de crypto-monnaie.<\/p>\n La campagne d’attaque de la cha\u00eene d’approvisionnement logicielle a \u00e9t\u00e9 baptis\u00e9e BIPClip par ReversingLabs. Les packages ont \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s collectivement 7\u00a0451 fois avant d\u2019\u00eatre supprim\u00e9s de PyPI. La liste des packages est la suivante –<\/p>\n BIPClip, qui s’adresse aux d\u00e9veloppeurs travaillant sur des projets li\u00e9s \u00e0 la g\u00e9n\u00e9ration et \u00e0 la s\u00e9curisation de portefeuilles de crypto-monnaie, serait actif depuis au moins le 4 d\u00e9cembre 2022, date \u00e0 laquelle hashdecrypt a \u00e9t\u00e9 publi\u00e9 pour la premi\u00e8re fois dans le registre.<\/p>\n “Ce n’est que la derni\u00e8re campagne de cha\u00eene d’approvisionnement logicielle visant \u00e0 cibler les actifs cryptographiques”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Karlo Zanki. dit<\/a> dans un rapport partag\u00e9 avec The Hacker News. “Cela confirme que la crypto-monnaie continue d’\u00eatre l’une des cibles les plus populaires pour les acteurs de la menace de la cha\u00eene d’approvisionnement.”<\/p>\n Signe que les auteurs de la campagne ont pris soin d’\u00e9viter d’\u00eatre d\u00e9tect\u00e9s, l’un des packages en question — mnemonic_to_address — \u00e9tait d\u00e9pourvu de toute fonctionnalit\u00e9 malveillante, \u00e0 l’exception de la liste bip39-mnemonic-decrypt comme d\u00e9pendance, qui contenait le composant malveillant. .<\/p>\n “M\u00eame s’ils ont choisi d’examiner les d\u00e9pendances du package, le nom du module import\u00e9 et la fonction invoqu\u00e9e sont soigneusement choisis pour imiter les fonctions l\u00e9gitimes et ne pas \u00e9veiller les soup\u00e7ons, car les impl\u00e9mentations de la norme BIP39 incluent de nombreuses op\u00e9rations cryptographiques”, a expliqu\u00e9 Zanki.<\/p>\n Le package, quant \u00e0 lui, est con\u00e7u pour voler des phrases mn\u00e9moniques et exfiltrer les informations vers un serveur contr\u00f4l\u00e9 par un acteur.<\/p>\n Deux autres packages identifi\u00e9s par ReversingLabs \u2013 public-address-generator et erc20-scanner \u2013 fonctionnent de mani\u00e8re analogue, le premier agissant comme un leurre pour transmettre les phrases mn\u00e9moniques au m\u00eame serveur de commande et de contr\u00f4le (C2).<\/p>\n D’un autre c\u00f4t\u00e9, hashdecrypts fonctionne un peu diff\u00e9remment dans la mesure o\u00f9 il n’est pas con\u00e7u pour fonctionner en paire et contient en lui-m\u00eame un code presque identique pour r\u00e9colter les donn\u00e9es.<\/p>\n Le package, selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement de logiciels, comprend des r\u00e9f\u00e9rences \u00e0 un profil GitHub nomm\u00e9 \u00ab HashSnake \u00bb, qui comprend un r\u00e9f\u00e9rentiel appel\u00e9 hCrypto qui est pr\u00e9sent\u00e9 comme un moyen d’extraire des phrases mn\u00e9moniques de portefeuilles cryptographiques \u00e0 l’aide du package hashdecrypts.<\/p>\n Un examen plus approfondi du d\u00e9p\u00f4t valider l’historique<\/a> r\u00e9v\u00e8le que la campagne est en cours depuis plus d’un an sur la base du fait que l’un des scripts Python a pr\u00e9c\u00e9demment import\u00e9 le package hashdecrypt (sans le “s”) au lieu de hashdecrypts jusqu’au 1er mars 2024, la m\u00eame date \u00e0 laquelle hashdecrypts a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 sur PyPI. .<\/p>\n Il convient de souligner que les acteurs malveillants derri\u00e8re le compte HashSnake sont \u00e9galement pr\u00e9sents sur T\u00e9l\u00e9gramme<\/a> et Youtube<\/a> pour annoncer leur warez. Ceci comprend publier une vid\u00e9o<\/a> le 7 septembre 2022, pr\u00e9sentant un outil de v\u00e9rification des journaux de chiffrement baptis\u00e9 xMultiChecker 2.0.<\/p>\n “Le contenu de chacun des colis d\u00e9couverts a \u00e9t\u00e9 soigneusement con\u00e7u pour les rendre moins suspects”, a d\u00e9clar\u00e9 Zanki.<\/p>\n “Ils \u00e9taient concentr\u00e9s sur la compromission des portefeuilles cryptographiques et le vol des cryptomonnaies qu’ils contenaient. Cette absence d’un programme et d’ambitions plus larges rendait moins probable que cette campagne fasse \u00e9chouer les outils de s\u00e9curit\u00e9 et de surveillance d\u00e9ploy\u00e9s au sein des organisations compromises.”<\/p>\n Les r\u00e9sultats soulignent une fois de plus les menaces de s\u00e9curit\u00e9 qui se cachent dans les r\u00e9f\u00e9rentiels de packages open source, exacerb\u00e9es par le fait que des services l\u00e9gitimes comme GitHub sont utilis\u00e9s comme canal pour distribuer des logiciels malveillants<\/a>.<\/p>\n En outre, les projets abandonn\u00e9s deviennent un vecteur attrayant pour les acteurs malveillants qui souhaitent prendre le contr\u00f4le des comptes des d\u00e9veloppeurs et publier des versions trojanis\u00e9es qui pourraient ensuite ouvrir la voie \u00e0 des attaques \u00e0 grande \u00e9chelle sur la cha\u00eene d’approvisionnement.<\/p>\n “Les actifs num\u00e9riques abandonn\u00e9s ne sont pas des reliques du pass\u00e9\u00a0; ce sont des bombes \u00e0 retardement et les attaquants en profitent de plus en plus, les transformant en chevaux de Troie au sein des \u00e9cosyst\u00e8mes open source”, Checkmarx not\u00e9<\/a> le mois dernier.<\/p>\n “MavenGate et Cosses de cacao<\/a> des \u00e9tudes de cas mettent en \u00e9vidence comment des domaines et sous-domaines abandonn\u00e9s pourraient \u00eatre d\u00e9tourn\u00e9s pour induire les utilisateurs en erreur et propager des intentions malveillantes.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/03\/Attention-ces-packages-PyPI-Python-peuvent-vider-vos-portefeuilles-cryptographiques.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n