Des acteurs malveillants inconnus ont \u00e9t\u00e9 d\u00e9couverts en train de propager des versions trojanis\u00e9es de jQuery<\/a> sur npm, GitHub et jsDelivr dans ce qui semble \u00eatre un exemple d’attaque de cha\u00eene d’approvisionnement \u00ab complexe et persistante \u00bb.<\/p>\n \u00ab Cette attaque se distingue par la grande variabilit\u00e9 entre les packages \u00bb, a d\u00e9clar\u00e9 Phylum dit<\/a> dans une analyse publi\u00e9e la semaine derni\u00e8re.<\/p>\n \u00ab L’attaquant a habilement cach\u00e9 le malware dans le fichier rarement utilis\u00e9 \u00bbfin<\/a>‘ fonction de jQuery, qui est appel\u00e9e en interne par le plus populaire ‘fondu au<\/a>\u00ab\u00a0fonctionne \u00e0 partir de ses utilitaires d’animation\u00a0\u00bb.<\/p>\n Pas moins de 68 packages ont \u00e9t\u00e9 li\u00e9s \u00e0 la campagne. Ils ont \u00e9t\u00e9 publi\u00e9s dans le registre npm du 26 mai au 23 juin 2024, sous des noms tels que cdnjquery, footersicons, jquertyi, jqueryxxx, logoo et sytlesheets, entre autres. <\/p>\n Il existe des preuves sugg\u00e9rant que chacun des faux packages a \u00e9t\u00e9 assembl\u00e9 et publi\u00e9 manuellement en raison du grand nombre de packages publi\u00e9s \u00e0 partir de diff\u00e9rents comptes, des diff\u00e9rences dans les conventions de d\u00e9nomination, de l’inclusion de fichiers personnels et de la longue p\u00e9riode pendant laquelle ils ont \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s.<\/p>\n Cela diff\u00e8re des autres m\u00e9thodes couramment observ\u00e9es dans lesquelles les attaquants ont tendance \u00e0 suivre un mod\u00e8le pr\u00e9d\u00e9fini qui souligne un \u00e9l\u00e9ment d\u2019automatisation impliqu\u00e9 dans la cr\u00e9ation et la publication des packages.<\/p>\n Les modifications malveillantes, selon Phylum, ont \u00e9t\u00e9 introduites dans une fonction nomm\u00e9e \u00ab end \u00bb, permettant \u00e0 l’acteur de la menace d’exfiltrer les donn\u00e9es du formulaire du site Web vers une URL distante.<\/p>\n Une enqu\u00eate plus approfondie a r\u00e9v\u00e9l\u00e9 que le fichier jQuery trojanis\u00e9 \u00e9tait h\u00e9berg\u00e9 sur un r\u00e9f\u00e9rentiel GitHub associ\u00e9 \u00e0 un compte appel\u00e9 \u00abindexc<\/a>.” Sont \u00e9galement pr\u00e9sents dans le m\u00eame r\u00e9f\u00e9rentiel des fichiers JavaScript contenant un script pointant vers la version modifi\u00e9e de la biblioth\u00e8que.<\/p>\n \u00ab Il convient de noter que jsDelivr construit ces URL GitHub automatiquement sans avoir besoin de t\u00e9l\u00e9charger quoi que ce soit sur le CDN explicitement \u00bb, a d\u00e9clar\u00e9 Phylum.<\/p>\n \u00ab Il s’agit probablement d’une tentative de l’attaquant de rendre la source plus l\u00e9gitime ou de se faufiler \u00e0 travers les pare-feu en utilisant jsDelivr au lieu de charger le code directement depuis GitHub lui-m\u00eame. \u00bb<\/p>\n Le d\u00e9veloppement intervient alors que Datadog identifi\u00e9<\/a> une s\u00e9rie de packages sur le r\u00e9f\u00e9rentiel Python Package Index (PyPI) avec des capacit\u00e9s permettant de t\u00e9l\u00e9charger un binaire de deuxi\u00e8me \u00e9tape \u00e0 partir d’un serveur contr\u00f4l\u00e9 par un attaquant en fonction de l’architecture du processeur.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Paquets-jQuery-trojanises-trouves-dans-les-referentiels-de-code-npm.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n