Les acteurs de la menace continuent de t\u00e9l\u00e9charger des packages malveillants vers le registre du NPM afin de falsifier les versions locales d\u00e9j\u00e0 install\u00e9es des biblioth\u00e8ques l\u00e9gitimes pour ex\u00e9cuter du code malveillant dans ce qui est consid\u00e9r\u00e9 comme une tentative plus sournoise de mettre en sc\u00e8ne une attaque de cha\u00eene d’approvisionnement logicielle.<\/p>\n
Le package nouvellement d\u00e9couvert, nomm\u00e9 pdf-office<\/a>se masque comme un utilitaire pour convertir les fichiers PDF en documents Microsoft Word. Mais, en r\u00e9alit\u00e9, il abrite des fonctionnalit\u00e9s d’injecter du code malveillant dans un logiciel de portefeuille de crypto-monnaie associ\u00e9 au portefeuille atomique et \u00e0 l’exode.<\/p>\n “Effectivement, une victime qui a tent\u00e9 d’envoyer des fonds de crypto dans un autre portefeuille crypto aurait l’adresse de destination du portefeuille pr\u00e9vu \u00e9chang\u00e9e pour un acteur malveillant”, inversant la chercheuse Lucija Valenti\u0107 dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n Le package NPM en question \u00e9tait premi\u00e8re publication<\/a> Le 24 mars 2025, et a re\u00e7u trois mises \u00e0 jour depuis lors, mais pas avant que les versions pr\u00e9c\u00e9dentes ne soient probablement supprim\u00e9es par les auteurs eux-m\u00eames. La derni\u00e8re version, 1.1.2, a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9e le 8 avril et reste disponible en t\u00e9l\u00e9chargement. Le package a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 334 fois<\/a> \u00e0 ce jour.<\/p>\n La divulgation intervient quelques semaines apr\u00e8s que la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement logicielle ait d\u00e9couvert deux packages NPM nomm\u00e9s Ethers-Provider2 et Ethers-Providerz qui ont \u00e9t\u00e9 con\u00e7us pour infecter les packages install\u00e9s localement et \u00e9tablir un shell invers\u00e9 pour se connecter au serveur de l’acteur de menace sur SSH.<\/p>\n Ce qui fait de cette approche une option attrayante pour les acteurs de menace, c’est qu’elle permet aux logiciels malveillants de persister sur les syst\u00e8mes de d\u00e9veloppeurs m\u00eame apr\u00e8s la suppression du package malveillant.<\/p>\n Une analyse du PDF-Office a r\u00e9v\u00e9l\u00e9 que le code malveillant int\u00e9gr\u00e9 dans le package v\u00e9rifie la pr\u00e9sence de l’archive “atomique \/ ressources \/ app.asar” dans le dossier “AppData \/ local \/ programmes” pour v\u00e9rifier que le portefeuille atomique est install\u00e9 sur l’ordinateur Windows, et dans le cas, introduisez la fonctionnalit\u00e9 de coupe.<\/p>\n “Si les archives \u00e9taient pr\u00e9sentes, le code malveillant \u00e9craserait l’un de ses fichiers avec une nouvelle version trojanis\u00e9e qui avait les m\u00eames fonctionnalit\u00e9s que le fichier l\u00e9gitime, mais a chang\u00e9 l’adresse cryptographique sortante o\u00f9 les fonds seraient envoy\u00e9s avec l’adresse d’un portefeuille Web3 cod\u00e9 de base64 appartenant \u00e0 l’acteur de menace”, a d\u00e9clar\u00e9 Valenti\u0107.<\/p>\n Dans une veine similaire, la charge utile est \u00e9galement con\u00e7ue pour trojaniser le fichier “src \/ app \/ ui \/ index.js” associ\u00e9 au portefeuille Exodus.<\/p>\n Mais dans une tournure int\u00e9ressante, les attaques sont destin\u00e9es \u00e0 deux versions sp\u00e9cifiques chacune des deux portefeuilles atomiques (2.91.5 et 2.90.6) et Exodus (25.13.3 et 25.9.2) afin de garantir que les fichiers JavaScript corrects sont \u00e9cras\u00e9s.<\/p>\n “Si, par hasard, le package PDF-Office \u00e9tait supprim\u00e9 de l’ordinateur, le logiciel des portefeuilles Web3 resterait compromis et continuerait \u00e0 canaliser les fonds de crypto vers le portefeuille des attaquants”, a d\u00e9clar\u00e9 Valenti\u0107. “La seule fa\u00e7on de supprimer compl\u00e8tement les fichiers malveillants malveillants du logiciel des portefeuilles Web3 serait de les supprimer compl\u00e8tement de l’ordinateur et de les r\u00e9installer.”<\/p>\n La divulgation est disponible sous forme d’extensions de code Visual Studio d\u00e9taill\u00e9es d\u00e9taill\u00e9es qui t\u00e9l\u00e9chargent furtivement un script PowerShell qui d\u00e9sactive la s\u00e9curit\u00e9 de Windows, \u00e9tablit la persistance \u00e0 travers des t\u00e2ches planifi\u00e9es et installe un cryptominer XMRIG.<\/p>\n Les extensions ont \u00e9t\u00e9 install\u00e9es collectivement plus d’un million de fois avant qu’elles ne soient retir\u00e9es. Les noms des extensions sont ci-dessous –<\/p>\n “Les attaquants ont cr\u00e9\u00e9 une attaque sophistiqu\u00e9e en plusieurs \u00e9tapes, en installant m\u00eame les extensions l\u00e9gitimes qu’ils ont issus pour \u00e9viter d’\u00e9lever des soup\u00e7ons tout en exploitant la crypto-monnaie en arri\u00e8re-plan” dit<\/a>.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Le-package-NPM-malveillant-cible-le-portefeuille-atomique-les-utilisateurs.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n\n