Nouvelle attaque de malware npm infecte une bibliothèque Ethereum populaire avec un accès clandestin
Récemment, des chercheurs en cybersécurité de ReversingLabs ont mis en lumière une nouvelle campagne de malware au sein du dépôt de packages npm, adoptant une approche innovante pour compromettre les systèmes des développeurs. Cet incident révèle des techniques astucieuses où le code malveillant est dissimulé au sein de logiciels légitimes déjà installés, rendant la détection plus complexe.
Détails de la Campagne de Malware
Les deux packages au cœur de cette attaque sont ethers-provider2 et ethers-providerz. À première vue, ces outils semblent innocents, servant simplement de téléchargeurs. Cependant, en réalité, ils s’avèrent être des vecteurs d’infection qui « patchent » le package npm ethers, un outil populaire pour interagir avec la blockchain Ethereum. Ce patch introduit un fichier malveillant, ouvrant ainsi une porte dérobée qui offre aux attaquants un accès à distance au système compromis.
Techniques D’évasion Utilisées par les Attaquants
Ce qui distingue cette attaque des autres est l’ingéniosité des attaquants dans la dissimulation de leur chargement. Selon l’analyse de ReversingLabs, le malware déploie des techniques d’évasion sophistiquées, allant jusqu’à effacer les fichiers temporaires utilisés pendant le processus d’infection. Une telle méthode est rare parmi les malwares basés sur npm, ce qui illustre la détermination des attaquants à recouvrir leurs traces.
Multiplication des Étapes d’Infection
Le schéma d’attaque repose sur un processus à plusieurs niveaux. Le chargeur initial télécharge une seconde étape, laquelle vérifie la présence du package ethers. Lorsque ce dernier est détecté, un fichier essentiel est remplacé par une version modifiée qui va ensuite télécharger et exécuter un troisième stade : un shell inversé. Ce dernier permet aux attaquants de prendre le contrôle intégral du système infecté.
Réactions et Mesures de Sécurité
Bien que le package ethers-providerz ait été retiré de npm, ethers-provider2 était encore actif au moment de la publication. Des chercheurs ont également repéré des packages supplémentaires associés à cette campagne, tels que reproduction-hardhat et @theoretical123/providers, qui ont également été supprimés par précaution. Pour aider les développeurs à détecter une éventuelle compromission, ReversingLabs a publié une règle YARA, un outil utile pour identifier des modifications non autorisées dans le package ethers.
Ce type d’incident rappelle l’importance d’une vigilance accrue face aux packages malveillants sur npm. Malgré une légère baisse des incidents liés aux malwares, les attaquants continuent de développer des méthodes nouvelles et sophistiquées pour infiltrer les chaînes d’approvisionnement logicielles. Les développeurs doivent impérativement adopter des pratiques de sécurité rigoureuses afin de protéger leurs projets et leurs environnements de développement.
