Une attaque de la chaîne d’approvisionnement a permis à des acteurs malveillants de compromettre des comptes Red Hat sur NPM. Cette intrusion a conduit à la diffusion d’un ver capable de voler des données sensibles.
Une récente attaque de la chaîne d’approvisionnement a touché des paquets officiels de Red Hat sur son canal NPM, mettant en péril la sécurité de nombreux développeurs. Selon les chercheurs de la société de sécurité Aikido, des acteurs malveillants ont réussi à prendre le contrôle du compte @redhat-cloud-services, un canal légitime au sein du dépôt NPM, destiné à diffuser des paquets officiels de Red Hat. Cette intrusion a débuté lundi et continuait d’être active au moment de la rédaction de cet article.
Le ver malveillant qui a été diffusé à travers ces paquets compromettus est conçu pour se propager d’une machine à l’autre, volant des informations d’identification sensibles dans le but de siphonner encore plus de données confidentielles. Plus de 30 paquets semblent avoir été affectés par cette attaque, ce qui soulève de sérieuses inquiétudes quant à la sécurité des développeurs qui utilisent ces services cloud de Red Hat.
Il est encore flou comment les acteurs de la menace ont réussi à obtenir le contrôle de ce namespace, mais il est presque certain que cela a impliqué la compromission de données d’identification nécessaires pour y accéder, possiblement à la suite d’une attaque de chaîne d’approvisionnement antérieure. Ce type d’attaques est devenu de plus en plus courant, illustrant le cycle vicieux auquel sont confrontés les développeurs et les entreprises dépendantes de ces canaux de distribution pour des outils essentiels.
Les conséquences de cette attaque pourraient être considérables, non seulement pour Red Hat, mais aussi pour les milliers d’entreprises et de développeurs qui font confiance à ces paquets pour leurs opérations quotidiennes. La vigilance est de mise, et il est essentiel pour les utilisateurs de surveiller de près leurs environnements de développement et de production pour toute activité suspecte.