Packages npm et Go détournés pour déployer un infostealer Python via VS Code
PACKAGES NPM ET GO DÉTOURNÉS POUR DÉPLOYER UN INFOSTEALER PYTHON VIA VS CODE
Des chercheurs en cybersécurité ont mis au jour deux packages npm compromis ainsi qu'un ensemble de packages Go conçus pour déployer un voleur d'informations basé sur Python. La menace cible les systèmes Windows, Linux et macOS. Particulièrement sophistiquée, cette attaque contourne les mécanismes de sécurité introduits dans npm v12 en évitant les chemins d'exécution habituels via les lifecycle scripts, ce qui la rend plus difficile à détecter par les outils de protection classiques.
IMPACTS POUR LES ORGANISATIONS
- ▸Vol de données sensibles sur les postes de développeurs compromis
- ▸Risque élevé pour les environnements multi-OS (Windows, Linux, macOS)
- ▸Contournement des protections npm v12 rendant la détection plus complexe
- ▸Propagation potentielle via des dépendances de confiance dans les projets Go et Node.js
Analyse
Des packages npm et Go légitimes ont été détournés par des attaquants afin d'y injecter un infostealer développé en Python. Selon les analyses publiées par JFrog, la campagne se distingue par sa capacité à contourner les contrôles de sécurité renforcés de npm v12, en évitant délibérément les lifecycle scripts habituellement surveillés. Les tâches VS Code seraient exploitées comme vecteur d'exécution alternatif, rendant la menace particulièrement insidieuse dans les environnements de développement. Les systèmes Windows, Linux et macOS sont tous concernés, ce qui élargit considérablement la surface d'attaque. Les équipes de développement sont invitées à auditer leurs dépendances, à surveiller les comportements anormaux dans leurs environnements VS Code et à renforcer les contrôles d'intégrité sur les packages tiers.
Source : The Hacker News
Source
Synthèse SecuriTrust de l'article publié par The Hacker News : Hijacked npm and Go Packages Use VS Code Tasks to Deploy Python Infostealer