Des paquets npm malveillants visent les développeurs Azure
Une attaque “à grande échelle” vise les développeurs Microsoft Azure par le biais de paquets npm malveillants.
Mercredi, des chercheurs en cybersécurité de JFrog ont déclaré que des centaines de paquets malveillants ont été identifiés, créés pour voler des données personnelles aux développeurs.
Selon les chercheurs Andrey Polkovnychenko et Shachar Menashe, les dépôts ont été détectés pour la première fois le 21 mars et sont passés d’environ 50 paquets npm malveillants à plus de 200 en quelques jours.
Les responsables des dépôts npm ont développé un script automatisé qui cible les modules @azure sur npm, ainsi que @azure-rest, @azure-tests, @azure-tools et @cadl-lang.
Le script est chargé de créer des comptes et d’uploader les données npm, qui comprennent des services de conteneurs, un robot de santé, des testeurs et des paquets de stockage.
JFrog affirme que le typosquattage a été utilisé pour essayer de tromper les développeurs en les poussant à télécharger des fichiers malveillants. Au moment de la rédaction de cet article, ces paquets contenaient un malware voleur d’informations.
Le typosquattage est une forme de phishing dans laquelle de petites modifications sont apportées à une adresse électronique, un fichier ou une adresse de site Web pour imiter un service ou un contenu légitime. Par exemple, un attaquant pourrait cibler les utilisateurs de “votre-company.com” en enregistrant un nom de domaine avec “votre-c0mpany.com” . En remplaçant cette simple lettre par un autre caractère visuellement similaire, l’attaquant espère que les victimes ne remarqueront pas que la ressource est frauduleuse.
Dans ce cas, les paquets malveillants sont créés avec le même nom qu’un paquet @azure scope existant, mais ils ont abandonné le scope.
La version légitime
La version malveillante
JFrog
“L’attaquant s’appuie sur le fait que certains développeurs peuvent omettre par erreur le préfixe @azure lors de l’installation d’un paquet”, expliquent les chercheurs. “Par exemple, en exécutant par erreur npm install core-tracing, au lieu de la commande correcte — npm install @azure/core-tracing”.
En outre, tous les paquets npm ont reçu des numéros de version élevés, ce qui pourrait indiquer des tentatives d’attaque par confusion de dépendances.
“Puisque cet ensemble de paquets légitimes est téléchargé des dizaines de millions de fois chaque semaine, il y a de fortes chances que certains développeurs se laissent berner avec succès par l’attaque de typosquattage”, ajoute JFrog.
JFrog a fourni une liste complète des paquets npm malveillants détectés jusqu’à présent. Les mainteneurs de Npm ont supprimé les fichiers malveillants, mais les développeurs Azure doivent rester vigilants quant à la poursuite des activités de cet acteur.
Source : “ZDNet.com”
