Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert deux packages malveillants sur le registre NPM qui sont con\u00e7us pour infecter un autre package install\u00e9 localement, soulignant l’\u00e9volution continue des attaques de cha\u00eene d’approvisionnement logicielles ciblant l’\u00e9cosyst\u00e8me open-source.<\/p>\n
Les packages en question sont Ethers-Provider2<\/a> et Ethers-providerz<\/a>avec le premier t\u00e9l\u00e9charg\u00e9 73 fois \u00e0 ce jour car il \u00e9tait publi\u00e9<\/a> Le 15 mars 2025. Le deuxi\u00e8me package, probablement supprim\u00e9 par l’auteur malveillant eux-m\u00eames, n’a attir\u00e9 aucun t\u00e9l\u00e9chargement.<\/p>\n “C’\u00e9taient des t\u00e9l\u00e9chargeurs simples dont la charge utile malveillante \u00e9tait intelligemment cach\u00e9e”, inversant la chercheuse Lucija Valenti\u0107 dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n “La partie int\u00e9ressante r\u00e9sidait dans leur deuxi\u00e8me \u00e9tape, qui\u00ab patcher \u00bble package NPM l\u00e9gitime \u00e9thers<\/a>install\u00e9 localement, avec un nouveau fichier contenant la charge utile malveillante. Ce fichier patch\u00e9 servirait finalement un shell invers\u00e9. “<\/p>\n Le d\u00e9veloppement marque une nouvelle escalade des tactiques des acteurs de la menace, car la d\u00e9sinstallation des packages voyous ne d\u00e9barrassera pas les machines compromises de la fonctionnalit\u00e9 malveillante, car les changements r\u00e9sident dans la biblioth\u00e8que populaire. En plus de cela, si un utilisateur sans m\u00e9fiance supprime le package Ethers lorsque Ethers-Provider2 reste sur le syst\u00e8me, il risque la r\u00e9infection lorsque le package est \u00e0 nouveau install\u00e9 plus tard.<\/p>\n L’analyse de revers de l’\u00e9thers-provider2 par les Advers ssh2<\/a> Package NPM qui comprend une charge utile malveillante dans install.js pour r\u00e9cup\u00e9rer un logiciel malveillant de deuxi\u00e8me \u00e9tape d’un serveur distant (“5.199.166[.]1: 31337 \/ installer “), \u00e9crivez-le dans un fichier temporaire et ex\u00e9cutez-le.<\/p>\n Imm\u00e9diatement apr\u00e8s l’ex\u00e9cution, le fichier temporaire est supprim\u00e9 du syst\u00e8me dans le but d’\u00e9viter de laisser des traces. La charge utile de deuxi\u00e8me \u00e9tape, pour sa part, d\u00e9marre une boucle infinie pour v\u00e9rifier si les \u00e9thers du package NPM sont install\u00e9s localement. <\/p>\n Dans le cas, le package est d\u00e9j\u00e0 pr\u00e9sent ou il est fra\u00eechement install\u00e9, il entre en action en rempla\u00e7ant l’un des fichiers nomm\u00e9s “Provider-Jsonrpc.js” par une version contrefaite qui emballe en code suppl\u00e9mentaire pour r\u00e9cup\u00e9rer et ex\u00e9cuter une troisi\u00e8me \u00e9tape du m\u00eame serveur. La charge utile nouvellement t\u00e9l\u00e9charg\u00e9e fonctionne comme un shell invers\u00e9 pour se connecter au serveur de l’acteur de menace sur SSH.<\/p>\n “Cela signifie que la connexion ouverte avec ce client se transforme en shell invers\u00e9 une fois qu’il re\u00e7oit un message personnalis\u00e9 du serveur”, a d\u00e9clar\u00e9 Valenti\u0107. “M\u00eame si le package Ethers-Provider2 est supprim\u00e9 d’un syst\u00e8me compromis, le client sera toujours utilis\u00e9 dans certaines circonstances, offrant un certain degr\u00e9 de persistance aux attaquants.”<\/p>\n Il convient de noter \u00e0 ce stade que le package officiel des Ethers sur le registre NPM n’est pas compromis, car les modifications malveillantes sont apport\u00e9es localement apr\u00e8s l’installation.<\/p>\n Le deuxi\u00e8me package, Ethers-Providerz, se comporte \u00e9galement de mani\u00e8re similaire en ce qu’il tente de modifier les fichiers associ\u00e9s \u00e0 un package NPM install\u00e9 localement appel\u00e9 “@ \u00e9thersproject \/ fournisseurs”. Le package NPM exact cibl\u00e9 par la biblioth\u00e8que n’est pas connu, bien que les r\u00e9f\u00e9rences de code source indiquent qu’elle aurait pu \u00eatre chargeur.js<\/a>.<\/p>\n Les r\u00e9sultats servent \u00e0 mettre en \u00e9vidence les nouvelles fa\u00e7ons dont les acteurs de menace servent et persistent les logiciels malveillants dans les syst\u00e8mes de d\u00e9veloppeurs, ce qui rend essentiel que les packages \u00e0 partir de r\u00e9f\u00e9rentiels open-source soient soigneusement examin\u00e9s avant de t\u00e9l\u00e9charger et de les utiliser.<\/p>\n “Malgr\u00e9 les faibles num\u00e9ros de t\u00e9l\u00e9chargement, ces packages sont puissants et malveillants”, a d\u00e9clar\u00e9 Valenti\u0107. “Si leur mission est r\u00e9ussie, ils corrompront les \u00e9thers de package install\u00e9s localement et maintiendront la persistance des syst\u00e8mes compromis m\u00eame si ce package est supprim\u00e9.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Le-package-NPM-malveillant-modifie-la-bibliotheque-Ethers-locale-pour.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n