Des chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert un nouveau package malveillant sur le r\u00e9f\u00e9rentiel Python Package Index (PyPI) qui se fait passer pour un kit de d\u00e9veloppement logiciel (SDK) pour SentinelOne, une importante soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, dans le cadre d’une campagne baptis\u00e9e SentinelleSneak<\/strong>.<\/p>\n Le colis, nomm\u00e9 SentinelleUn<\/a> et maintenant retir\u00e9, aurait \u00e9t\u00e9 publi\u00e9 entre le 8 et le 11 d\u00e9cembre 2022, avec pr\u00e8s de deux douzaines de versions pouss\u00e9es en succession rapide sur une p\u00e9riode de deux jours.<\/p>\n Il pr\u00e9tend offrir une m\u00e9thode plus simple pour acc\u00e9der au API de l’entreprise<\/a>mais h\u00e9berge une porte d\u00e9rob\u00e9e malveillante con\u00e7ue pour collecter des informations sensibles \u00e0 partir des syst\u00e8mes de d\u00e9veloppement, notamment des identifiants d’acc\u00e8s, des cl\u00e9s SSH et des donn\u00e9es de configuration.<\/p>\n De plus, l’acteur de la menace a \u00e9galement \u00e9t\u00e9 observ\u00e9 en train de publier deux autres packages avec des variations de d\u00e9nomination similaires – SentinelOne-sdk<\/a> et SentinelOneSDK<\/a> \u2013 soulignant les menaces persistantes qui se cachent dans les r\u00e9f\u00e9rentiels open source.<\/p>\n “Le package d’imposteur SentinelOne n’est que la derni\u00e8re menace \u00e0 tirer parti du r\u00e9f\u00e9rentiel PyPI et souligne la menace croissante pour les cha\u00eenes d’approvisionnement logicielles, car les acteurs malveillants utilisent des strat\u00e9gies telles que le ‘typosquattage’ pour exploiter la confusion des d\u00e9veloppeurs et pousser le code malveillant dans les pipelines de d\u00e9veloppement et les applications l\u00e9gitimes”, Karlo Zanki, chercheur sur les menaces chez ReversingLabs m’a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Ce qui est remarquable \u00e0 propos du paquet frauduleux, c’est qu’il imite un SDK l\u00e9gitime<\/a> qui est propos\u00e9 par SentinelOne \u00e0 ses clients, incitant potentiellement les d\u00e9veloppeurs \u00e0 t\u00e9l\u00e9charger le module depuis PyPI.<\/p>\n La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement en logiciels a not\u00e9 que le code client du SDK peut avoir \u00e9t\u00e9 “probablement obtenu aupr\u00e8s de la soci\u00e9t\u00e9 via un compte client l\u00e9gitime”.<\/p>\n Certaines des donn\u00e9es exfiltr\u00e9es par le logiciel malveillant vers un serveur distant incluent l’historique d’ex\u00e9cution des commandes shell, les cl\u00e9s SSH et d’autres fichiers d’int\u00e9r\u00eat, indiquant une tentative de la part de l’auteur de la menace de siphonner des informations sensibles des environnements de d\u00e9veloppement.<\/p>\n Il n’est pas imm\u00e9diatement clair si le paquet a \u00e9t\u00e9 militaris\u00e9 dans le cadre d’une attaque active de la cha\u00eene d’approvisionnement, bien qu’il ait \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 plus de 1 000 fois avant son retrait.<\/p>\n Les conclusions proviennent du rapport de ReversingLabs sur l’\u00e9tat de la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement logicielle trouv\u00e9<\/a> que le r\u00e9f\u00e9rentiel PyPI a connu une diminution de pr\u00e8s de 60\u00a0% des t\u00e9l\u00e9chargements de packages malveillants en 2022, passant \u00e0 1\u00a0493 packages contre 3\u00a0685 en 2021.<\/p>\n Au contraire, le r\u00e9f\u00e9rentiel JavaScript npm a connu une augmentation de 40 % pour atteindre pr\u00e8s de 7 000, ce qui en fait le “plus grand terrain de jeu pour les acteurs malveillants”. Au total, les tendances des packages malveillants depuis 2020 ont \u00e9t\u00e9 multipli\u00e9es par 100 en npm et plus de 18\u00a0000\u00a0% en PyPI.<\/p>\n “Bien que de petite envergure et de peu d’impact, cette campagne rappelle aux organisations de d\u00e9veloppement la persistance des menaces de la cha\u00eene d’approvisionnement des logiciels”, a d\u00e9clar\u00e9 Zanki. “Comme pour les campagnes malveillantes pr\u00e9c\u00e9dentes, celle-ci joue sur des tactiques d’ing\u00e9nierie sociale \u00e9prouv\u00e9es pour confondre et induire les d\u00e9veloppeurs en erreur en t\u00e9l\u00e9chargeant un module malveillant.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1670949871_285_De-graves-attaques-auraient-pu-etre-mises-en-scene-via.png\")
<\/a><\/center><\/div>\n![\"Paquet](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1671475227_336_Des-chercheurs-decouvrent-un-package-PyPI-malveillant-se-faisant-passer.png\" "\\"Paquet")
<\/div>\n