Deux packages Python et PHP contenant des chevaux de Troie ont été découverts dans ce qui est encore un autre cas d’attaque de la chaîne d’approvisionnement logicielle ciblant l’écosystème open source. L’un des packages en question est « ctx », un module Python disponible dans le référentiel PyPi. L’autre implique « phpass », un package PHP qui a été forké sur GitHub pour distribuer une mise à jour malveillante. « Dans les deux cas, l’attaquant semble avoir repris des paquets qui n’ont pas été mis à jour depuis un certain temps », a déclaré le SANS Internet Storm Center (ISC), dont l’un des gestionnaires d’incidents bénévoles, Yee Ching, a analysé le paquet ctx. Il convient de noter que ctx, avant la dernière version du 21 mai 2022, a été publié pour la dernière fois sur PyPi le 19 décembre 2014. D’autre part, phpass n’a pas reçu de mise à jour depuis son téléchargement sur Packagist le 31 août. 2012. Les deux bibliothèques ont été supprimées de PyPi et GitHub. À la base, les modifications sont conçues pour exfiltrer les informations d’identification AWS vers une URL Heroku nommée « anti-theft-web.herokuapp[.]com ». « Il semble que l’agresseur essaie d’obtenir toutes les variables d’environnement, de les encoder en Base64 et de transmettre les données à une application Web sous le contrôle de l’agresseur », a déclaré Ching. On soupçonne que l’attaquant a réussi à obtenir un accès non autorisé au compte du responsable pour publier la nouvelle version de ctx. Une enquête plus approfondie a révélé que l’auteur de la menace a enregistré le domaine expiré utilisé par le responsable d’origine le 14 mai 2022.

Linux diff command executed on original ctx 0.1.2 Package and the « new » ctx 0.1.2 Package

« Avec le contrôle du nom de domaine d’origine, créer un e-mail correspondant pour recevoir un e-mail de réinitialisation de mot de passe serait trivial », a ajouté Ching. « Après avoir obtenu l’accès au compte, l’auteur pourrait supprimer l’ancien package et télécharger les nouvelles versions dérobées. » Par coïncidence, le 10 mai 2022, le consultant en sécurité Lance Vick a révélé comment il est possible d’acheter des domaines de messagerie de responsable NPM périmés et de les utiliser ensuite pour recréer des e-mails de responsable et prendre le contrôle des packages.

De plus, une analyse des métadonnées de 1,63 million de packages JavaScript NPM menée par des universitaires de Microsoft et de la North Carolina State University l’année dernière a révélé 2 818 adresses e-mail de mainteneur associées à des domaines expirés, permettant ainsi à un attaquant de détourner 8 494 packages en prenant le contrôle des comptes NPM. « En général, tout nom de domaine peut être acheté auprès d’un registraire de domaine permettant à l’acheteur de se connecter à un service d’hébergement de messagerie pour obtenir une adresse e-mail personnelle », ont déclaré les chercheurs. « Un attaquant peut détourner le domaine d’un utilisateur pour prendre le contrôle d’un compte associé à cette adresse e-mail. » S’il s’avère que le domaine d’un responsable a expiré, l’auteur de la menace peut acquérir le domaine et modifier les enregistrements d’échange de courrier DNS (MX) pour s’approprier l’adresse e-mail du responsable. « On dirait que le compromis phpass s’est produit parce que le propriétaire de la source du paquet – » hautelook « a supprimé son compte, puis l’attaquant a revendiqué le nom d’utilisateur », a déclaré le chercheur indépendant Somdev Sangwan dans une série de tweets, détaillant ce qu’on appelle une attaque de détournement de référentiel. Les référentiels publics de code open source tels que Maven, NPM, Packages, PyPi et RubyGems sont un élément essentiel de la chaîne d’approvisionnement logicielle sur laquelle de nombreuses organisations s’appuient pour développer des applications. D’un autre côté, cela en a également fait une cible attrayante pour une variété d’adversaires cherchant à diffuser des logiciels malveillants. Cela inclut le typosquattage, la confusion des dépendances et les attaques de prise de contrôle de compte, ces dernières pouvant être exploitées pour expédier des versions frauduleuses de packages légitimes, entraînant des compromissions généralisées de la chaîne d’approvisionnement. « Les développeurs font aveuglément confiance aux référentiels et installent des packages à partir de ces sources, en supposant qu’ils sont sécurisés », a déclaré l’année dernière la société DevSecOps JFrog, ajoutant que les acteurs de la menace utilisent les référentiels comme vecteur de distribution de logiciels malveillants et lancent des attaques réussies à la fois sur le développeur et sur CI/CD. machines dans le pipeline.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *