{"id":1255550,"date":"2024-07-27T04:25:16","date_gmt":"2024-07-27T06:25:16","guid":{"rendered":"https:\/\/teknomers.com\/fr\/un-package-malveillant-pypi-cible-macos-pour-voler-les-identifiants-google-cloud\/"},"modified":"2024-07-27T04:25:21","modified_gmt":"2024-07-27T06:25:21","slug":"un-package-malveillant-pypi-cible-macos-pour-voler-les-identifiants-google-cloud","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/un-package-malveillant-pypi-cible-macos-pour-voler-les-identifiants-google-cloud\/","title":{"rendered":"Un package malveillant PyPI cible macOS pour voler les identifiants Google Cloud"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>27 juillet 2024<\/span>\ue804<\/i>R\u00e9daction<\/span><\/span>Cybers\u00e9curit\u00e9 \/ S\u00e9curit\u00e9 du Cloud<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Des chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert un package malveillant dans le r\u00e9f\u00e9rentiel Python Package Index (PyPI) qui cible les syst\u00e8mes Apple macOS dans le but de voler les informations d’identification Google Cloud des utilisateurs \u00e0 partir d’un groupe restreint de victimes.<\/p>\n

Le paquet, nomm\u00e9 \u00ab lr-utils-lib \u00bb, a attir\u00e9 un total de 59 t\u00e9l\u00e9chargements<\/a> avant d’\u00eatre supprim\u00e9e. Elle a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9e dans le registre d\u00e9but juin 2024.<\/p>\n

\u00ab Le logiciel malveillant utilise une liste de hachages pr\u00e9d\u00e9finis pour cibler des machines macOS sp\u00e9cifiques et tente de r\u00e9colter les donn\u00e9es d’authentification de Google Cloud \u00bb, explique Yehuda Gelb, chercheur chez Checkmarx. dit<\/a> dans un rapport publi\u00e9 vendredi. \u00ab Les informations d’identification collect\u00e9es sont envoy\u00e9es \u00e0 un serveur distant. \u00bb<\/p>\n

\"La<\/a><\/center><\/section>\n

Un aspect important du package est qu’il v\u00e9rifie d’abord s’il a \u00e9t\u00e9 install\u00e9 sur un syst\u00e8me macOS, puis proc\u00e8de ensuite \u00e0 la comparaison de l’identifiant unique universel (UUID) du syst\u00e8me avec une liste cod\u00e9e en dur de 64 hachages.<\/p>\n

Si la machine compromise fait partie de celles sp\u00e9cifi\u00e9es dans l’ensemble pr\u00e9d\u00e9fini, elle tente d’acc\u00e9der \u00e0 deux fichiers, \u00e0 savoir application_default_credentials.json et credentials.db, situ\u00e9s dans le r\u00e9pertoire ~\/.config\/gcloud, qui contiennent les donn\u00e9es d’authentification Google Cloud.<\/p>\n

\"Paquet<\/a><\/div>\n

Les informations captur\u00e9es sont ensuite transmises via HTTP \u00e0 un serveur distant \u00ab europe-west2-workload-422915[.]fonctions du cloud[.]filet.”<\/p>\n

Checkmarx a d\u00e9clar\u00e9 avoir \u00e9galement trouv\u00e9 un faux profil sur LinkedIn avec le nom \u00ab Lucid Zenith \u00bb qui correspondait au propri\u00e9taire du package et pr\u00e9tendait faussement \u00eatre le PDG d’Apex Companies, sugg\u00e9rant un possible \u00e9l\u00e9ment d’ing\u00e9nierie sociale dans l’attaque.<\/p>\n

On ne sait pas exactement qui se cache derri\u00e8re cette campagne. Elle survient cependant plus de deux mois apr\u00e8s que la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Phylum a r\u00e9v\u00e9l\u00e9 les d\u00e9tails d’une autre attaque de la cha\u00eene d’approvisionnement impliquant un package Python appel\u00e9 \u00ab requests-darwin-lite \u00bb qui s’est \u00e9galement r\u00e9v\u00e9l\u00e9 capable de d\u00e9clencher ses actions malveillantes apr\u00e8s v\u00e9rification de l’UUID de l’h\u00f4te macOS.<\/p>\n

Ces campagnes sont le signe que les acteurs malveillants ont une connaissance pr\u00e9alable des syst\u00e8mes macOS qu\u2019ils souhaitent infiltrer et qu\u2019ils mettent tout en \u0153uvre pour garantir que les packages malveillants ne soient distribu\u00e9s que sur ces machines particuli\u00e8res.<\/p>\n

Il \u00e9voque \u00e9galement les tactiques employ\u00e9es par les acteurs malveillants pour distribuer des packages similaires, dans le but de tromper les d\u00e9veloppeurs afin qu’ils les incorporent dans leurs applications.<\/p>\n

\u00ab Bien qu’il ne soit pas certain que cette attaque ait vis\u00e9 des particuliers ou des entreprises, ce type d’attaque peut avoir un impact consid\u00e9rable sur les entreprises \u00bb, a d\u00e9clar\u00e9 Gelb. \u00ab Bien que la compromission initiale se produise g\u00e9n\u00e9ralement sur la machine d’un d\u00e9veloppeur individuel, les cons\u00e9quences pour les entreprises peuvent \u00eatre consid\u00e9rables. \u00bb<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire davantage de contenu exclusif que nous publions.<\/div>\n<\/div>\n