Amazon attribue plusieurs cyberattaques contre npm à un groupe de hackers nord-coréens
Amazon Threat Intelligence et Amazon Inspector ont identifié une évolution dans les techniques de cyberattaques ciblant les dépôts open source, attribuées à un même groupe de hackers nord-coréens. Depuis un an, les attaquants utilisent des méthodes sophistiquées pour dissimuler des charges malveillantes dans des paquets qui semblent anodins, évitant ainsi de déclencher des alertes.
Les pirates répartissent une charge malveillante unique entre plusieurs paquets, de sorte qu’aucun composant pris isolément ne soulève de soupçons. Un compte peut publier des fonctionnalités légitimes pendant plusieurs mois, renforçant ainsi la confiance des utilisateurs avant d’introduire un code malveillant. Par ailleurs, certains paquets affichent un code propre sur le registre public, tandis que le comportement malveillant est dissimulé dans des scripts ou fichiers de configuration hébergés ailleurs, activables à tout moment. Cela complique l’analyse statique du code, car la clé de déchiffrement n’est transmise qu’au moment de l’exécution.
Les hackers exploitent également l’intelligence artificielle pour générer du code et créer des identités de mainteneurs plus convaincantes. Des assistants de codage basés sur l’IA peuvent recommander des noms de paquets inexistants, une technique connue sous le nom de slopsquatting. Cette méthode permet aux attaquants de réserver des noms avant que des développeurs ne les utilisent, augmentant ainsi le risque d’installation de paquets malveillants. De plus, des instructions peuvent être dissimulées dans des commentaires de code, trompant les outils d’IA chargés de valider le paquet.
En réponse à ces menaces, npm a modifié son comportement par défaut, empêchant l’exécution automatique des scripts d’installation lors du téléchargement d’un paquet, sauf accord explicite du développeur. GitHub, qui possède npm depuis 2020, a justifié cette modification par plusieurs attaques passées. Amazon Web Services participe également à une initiative lancée en juin par la Fondation Linux, regroupant une vingtaine d’organisations, dont Google et Microsoft, pour corriger les failles critiques avant leur exploitation. Amazon a investi 12,5 millions de dollars, soit près de 11,6 millions d’euros, dans ce programme.
Pour alerter ses clients sur ces activités malveillantes, Amazon Threat Intelligence a transmis les indicateurs observés à Amazon GuardDuty.
Source : Clubic
