Le NuGet<\/a> est la cible d’une nouvelle “attaque sophistiqu\u00e9e et hautement malveillante” visant \u00e0 infecter les syst\u00e8mes des d\u00e9veloppeurs .NET avec un malware voleur de crypto-monnaie.<\/p>\n Les 13 packages escrocs, qui ont \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s plus de 160 000 fois au cours du mois dernier, ont depuis \u00e9t\u00e9 supprim\u00e9s.<\/p>\n “Les packages contenaient un script PowerShell qui s’ex\u00e9cutait lors de l’installation et d\u00e9clenchait le t\u00e9l\u00e9chargement d’une charge utile de” deuxi\u00e8me \u00e9tape “, qui pouvait \u00eatre ex\u00e9cut\u00e9e \u00e0 distance”, ont d\u00e9clar\u00e9 les chercheurs de JFrog, Natan Nehorai et Brian Moussalli. a dit<\/a>.<\/p>\n Alors que les packages NuGet se sont r\u00e9v\u00e9l\u00e9s dans le pass\u00e9 contenir des vuln\u00e9rabilit\u00e9s et \u00eatre utilis\u00e9s de mani\u00e8re abusive pour propager des liens de phishing, le d\u00e9veloppement marque la toute premi\u00e8re d\u00e9couverte de packages contenant du code malveillant.<\/p>\n Trois des packages les plus t\u00e9l\u00e9charg\u00e9s \u2013 Coinbase.Core, Anarchy.Wrapper.Net et DiscordRichPresence.API \u2013 repr\u00e9sentaient \u00e0 eux seuls 166 000 t\u00e9l\u00e9chargements, bien qu’il soit \u00e9galement possible que les acteurs de la menace gonflent artificiellement le nombre de t\u00e9l\u00e9chargements en utilisant des bots pour les faire appara\u00eetre plus l\u00e9gitimes.<\/p>\n L’utilisation de Coinbase et Discord souligne le recours continu aux techniques de typosquattage, dans lesquelles de faux packages se voient attribuer des noms similaires \u00e0 des packages l\u00e9gitimes, afin d’inciter les d\u00e9veloppeurs \u00e0 les t\u00e9l\u00e9charger.<\/p>\n Le malware incorpor\u00e9 dans les packages logiciels fonctionne comme un script dropper et est con\u00e7u pour ex\u00e9cuter automatiquement un code PowerShell qui r\u00e9cup\u00e8re un binaire de suivi \u00e0 partir d’un serveur cod\u00e9 en dur. <\/p>\n En tant que m\u00e9canisme d’obscurcissement suppl\u00e9mentaire, certains packages n’int\u00e9graient pas directement une charge utile malveillante, mais la r\u00e9cup\u00e9raient via un autre package pi\u00e9g\u00e9 en tant que d\u00e9pendance.<\/p>\n Plus troublant encore, la connexion au serveur de commande et de contr\u00f4le (C2) se fait via HTTP (par opposition \u00e0 HTTPS), ce qui le rend vuln\u00e9rable \u00e0 une attaque d’adversaire au milieu (AiTM).<\/p>\n Le logiciel malveillant de deuxi\u00e8me \u00e9tape est ce que JFrog d\u00e9crit comme une “charge utile ex\u00e9cutable enti\u00e8rement personnalis\u00e9e” qui peut \u00eatre commut\u00e9e dynamiquement \u00e0 volont\u00e9 puisqu’elle est r\u00e9cup\u00e9r\u00e9e \u00e0 partir du serveur C2.<\/p>\n D\u00e9couvrez les dangers cach\u00e9s des applications SaaS tierces<\/p>\n \u00cates-vous conscient des risques associ\u00e9s \u00e0 l’acc\u00e8s d’applications tierces aux applications SaaS de votre entreprise\u00a0? Rejoignez notre webinaire pour en savoir plus sur les types d’autorisations accord\u00e9es et sur la mani\u00e8re de minimiser les risques.<\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/03\/Les-packages-Rogue-NuGet-infectent-les-developpeurs-NET-avec-des.png\")
<\/div>\n