Microsoft Threat Intelligence a découvert deux paquets npm compromis diffusant un cheval de Troie d’accès à distance (RAT) visant les développeurs et les utilisateurs de crypto-monnaies. Les paquets malveillants, identifiés comme utils-terminal@3.2.1 et logger-active@3.2.1, dérobent les frappes au clavier, des captures d’écran et les identifiants des portefeuilles de crypto-monnaies depuis les systèmes infectés. Les attaquants ont utilisé des dépôts Hugging Face pour exfiltrer les informations volées, rendant la détection plus difficile pour les équipes de sécurité. La campagne cible des postes de travail de développeurs contenant des portefeuilles crypto basés sur le navigateur, des clés privées, des identifiants d’API d’échange et des identifiants de services cloud. Cette découverte s’inscrit dans les risques continus liés à la chaîne d’approvisionnement logicielle, qui touchent les développeurs et les utilisateurs de crypto stockant des actifs sensibles sur des machines de développement.
Microsoft Identifie des paquets npm malveillants diffusant un malware RAT
Microsoft a averti que des cybercriminels ciblent des développeurs et des utilisateurs de crypto-monnaies via des logiciels malveillants dissimulés dans des paquets npm publics. D’après Microsoft Threat Intelligence, deux paquets npm compromis, identifiés comme utils-terminal@3.2.1 et logger-active@3.2.1, ont été repérés en train de distribuer un cheval de Troie d’accès à distance (RAT) capable de voler des informations sensibles depuis des systèmes infectés.
Les paquets malveillants auraient été conçus pour collecter une large gamme de données, notamment des frappes au clavier, des captures d’écran, des identifiants de portefeuilles de crypto-monnaies et d’autres informations confidentielles. Comme npm est l’un des registres logiciels les plus utilisés pour les développeurs JavaScript, la menace a le potentiel d’impacter un grand nombre d’utilisateurs qui installent, sans le savoir, des dépendances compromises lors de la création d’applications ou de services web.
Les attaquants font transiter les données volées via la plateforme Hugging Face
Microsoft a expliqué que les attaquants utilisaient Hugging Face, une plateforme populaire pour les projets d’intelligence artificielle et d’apprentissage automatique, dans le cadre de leur processus d’exfiltration de données. En faisant transiter l’information volée via une plateforme de confiance, l’activité malveillante peut sembler moins suspecte que des communications avec des serveurs traditionnels de commande et contrôle, rendant la détection plus difficile pour les équipes de sécurité.
Le malware cible les portefeuilles crypto et les identifiants des développeurs
La menace est particulièrement préoccupante pour les développeurs et investisseurs en crypto. Les postes de travail des développeurs contiennent souvent des portefeuilles crypto basés sur le navigateur, des clés privées, des sauvegardes de phrase de récupération, des identifiants d’API d’échange, des jetons d’accès GitHub et des identifiants de services cloud. Si les attaquants obtiennent accès à ces éléments, ils pourraient potentiellement compromettre des avoirs en crypto-monnaie, des environnements de développement, des systèmes de trading et des dépôts de code source.
La campagne est liée à des attaques précédentes de chaîne d’approvisionnement
Les résultats de Microsoft s’alignent également sur une tendance d’attaques visant les chaînes d’approvisionnement des logiciels. En mai, des chercheurs en sécurité ont découvert la campagne de malware TrapDoor, qui s’est propagée via des dizaines de paquets malveillants sur npm, PyPI et des dépôts Rust. Cette opération ciblait spécifiquement des développeurs en crypto et en intelligence artificielle en tentant de voler des données de portefeuilles, des identifiants cloud, des clés API et l’accès SSH.
L’avertissement le plus récent fait aussi suite à un autre rapport récent de Microsoft concernant un malware de cryptojacking. Dans cette campagne, les attaquants auraient utilisé des résultats de recherche empoisonnés et manipulé les interactions avec un chatbot d’IA afin d’orienter les utilisateurs vers de faux téléchargements de logiciels. Une fois installés, les programmes malveillants tiraient parti des ressources du système pour miner de la crypto-monnaie sans que les victimes ne le sachent.
Les experts en sécurité recommandent la rotation des identifiants et la vérification des paquets
Les experts en sécurité recommandent aux développeurs de passer soigneusement en revue les paquets nouvellement installés, de supprimer les dépendances suspectes, de faire tourner les identifiants potentiellement exposés et de surveiller l’activité du portefeuille pour détecter toute transaction non autorisée. Les utilisateurs de crypto sont également invités à éviter de stocker des phrases de récupération sur des appareils connectés à internet et à vérifier minutieusement toutes les transactions de portefeuille avant de les approuver.
FAQ
Quels paquets npm malveillants Microsoft a-t-il découverts ?
Microsoft Threat Intelligence a identifié deux paquets npm compromis : utils-terminal@3.2.1 et logger-active@3.2.1. Ces paquets diffusent un cheval de Troie d’accès à distance capable de voler des frappes au clavier, des captures d’écran, des identifiants de portefeuilles de crypto-monnaies et d’autres informations confidentielles depuis des systèmes infectés.
Comment les attaquants exfiltrent-ils les données volées depuis les systèmes infectés ?
Les attaquants ont utilisé Hugging Face, une plateforme populaire pour les projets d’intelligence artificielle et d’apprentissage automatique, dans le cadre de leur processus d’exfiltration de données. En faisant transiter l’information volée via une plateforme de confiance, l’activité malveillante semble moins suspecte que des communications avec des serveurs traditionnels de commande et contrôle, ce qui rend la détection plus difficile pour les équipes de sécurité.
Quelles mesures de sécurité les experts recommandent-ils pour les développeurs ?
Les experts en sécurité recommandent aux développeurs de passer soigneusement en revue les paquets nouvellement installés, de supprimer les dépendances suspectes, de faire tourner les identifiants potentiellement exposés et de surveiller l’activité du portefeuille pour détecter toute transaction non autorisée. Il est également conseillé aux utilisateurs de crypto d’éviter de stocker des phrases de récupération sur des appareils connectés à internet et de vérifier minutieusement toutes les transactions de portefeuille avant de les approuver.
