Boîte Worm un ver auto-drop qui redéfinit la sécurité de npm avec des conteneurs d'ordinateur Internet

Ces derniers jours, la communauté des développeurs a reçu une alerte sérieuse: une chaîne d'engagement initiée dans le populaire scanner Trivy semble avoir dérivé d'une vague de paquets npm manipulés qui hébergent un ver auto-réplicateur jamais documenté, baptisé par les chercheurs comme CanisterWorm. Loin d'être une infection classique, cette attaque combine des techniques de malware traditionnelles avec une nouvelle pièce: l'utilisation d'un boîte de la chaîne de blocage de l'Internet Computer (ICP) comme une goutte morte décentralisée pour gérer le commandement et le contrôle.

Selon l'analyse publiée par l'équipe de recherche d'Aikido Security, l'intrusion initiale a profité de lettres de créances engagées pour publier des versions malveillantes de projets liés à Trivy (y compris trivy, trivy-action et setup-trivy) contenant une Voleur crédantal. De là, les agresseurs, provisoirement attribués à l'opération connue sous le nom TeamPCP par des sociétés de renseignement comme Cyble ils ont commencé à diffuser le code capable d'installer une porte arrière à Python, établir la persistance et contacter régulièrement le conteneur PIC pour télécharger la prochaine étape de l'attaque.

La mécanique technique est troublante pour sa robustesse: lors de l'installation, le paquet malveillant exécute un crochet post-installation qui lance un chargeur. Ce chargeur laisse une porte arrière en Python qui, en plus d'être actif grâce à un service système configuré avec Redémarrer = toujours, consultez la boîte ICP toutes les 50 minutes en utilisant un Utilisateur-Agent falsifié. La boîte répond avec une URL de texte plat qui pointe vers le binaire à télécharger et à exécuter. Le contrôle des conteneurs est particulièrement problématique car, en tant qu'infrastructure décentralisée, il résiste aux mesures d'atténuation classiques : le contrôleur des conteneurs peut modifier l'URL pour déployer de nouvelles charges sans retoucher l'équipement infecté.

Les chercheurs ont également remarqué un curieux "switch" utilisé par les attaquants: si l'URL qui retourne le conteneur contient youtube [.] com, le goutteur l'ignore et ne télécharge rien, fonctionnant aussi bien que latence. Au moment où l'analyse a été signalée, l'URL active était une vidéo de blague (un "rickroll" typique), mais le conteneur a des méthodes pour mettre à jour le lien et servir un vrai binaire à tout moment. Le conseil public du contenant et les méthodes présentées par celui-ci (comme get _ last _ link et update _ link) ont été vérifiés par les analystes et confirment la capacité de changer le comportement en route.

La dimension de pollution de l'écosystème npm est significative : des dizaines de paquets touchés ont été détectés, dont 28 sous le champ d'application @ EmilGroup et 16 faibles @ opengov, en plus de noms spécifiques tels que @ teale.io / eslint-config, @ airtm / uuid-base32 et @ pyptentam / flotte-ui-dom. Dans une première version de la campagne, l'attaquant a utilisé un outil appelé "déploy.js" exécuté manuellement avec des jetons volés npm pour publier des versions compromises de plusieurs paquets et étendre son rayon d'impact. Cette variante était déjà dangereuse: un opérateur avec des jetons valides peut, programmatiquement et à grande échelle, publier des paquets infectés et compromettre la chaîne d'approvisionnement des projets qui en dépendent.

Ce qui augmente encore la gravité de l'incident est qu'une évolution du ver a été observée vers un comportement totalement autonome. Dans les dernières versions malveillantes (p. ex. @ teale.io / eslint-config v1.8.11 et v1.8.12) la logique de propagation a été intégrée directement dans indice.j. Il ya une fonction qui cherche des jetons npm dans l'environnement du développeur pendant la post-installation et lance la routine de déploiement en arrière-plan, transformant ainsi l'infection en une véritable Vers qui n'exige plus l'exécution manuelle de l'attaquant pour monter: toute machine de développement ou canal CI qui installe le paquet et a un jeton accessible peut devenir un nouveau vecteur de publication pour les paquets plus infectés.

Les détails de la persistance et du camouflage sont pratiques et peu sophistiqués en même temps: le service système est utilisé comme un outil PostgreSQL appelé "pgmon" pour éviter de soulever la suspicion, et la porte arrière ne tue pas les anciens processus lors de l'adoption d'une nouvelle URL, ce qui signifie que les versions précédentes restent en fonctionnement. Aikido rapporte également que l'auteur a testé le flux de propagation avec une chaîne de test ("hello123") avant de mettre dans un vrai binaire, une stratégie habituelle pour s'assurer que toute la chaîne d'infection fonctionne avant d'activer la charge malveillante réelle.

Face à cette menace, la réponse des développeurs et des équipements de sécurité doit être rapide et multiforme. Il est essentiel de révoquer et de faire pivoter immédiatement les jetons engagés npm et d'examiner l'intégration des pipelines d'IC pour s'assurer qu'ils ne stockent pas les jetons avec des permis inutiles. Les comptes et les références utilisés pour publier les paquets devraient être vérifiés, et il est approprié d'inspecter les environnements de développement et les coureurs par des signes de persistance : services système avec noms suspects dans l'espace utilisateur, fichiers tels que deploy.js, index.js avec logique de capture des jetons, et processus Python qui effectuent des connexions régulières à des domaines ou des paramètres inhabituels. Pour comprendre et atténuer le risque de jetons en npm, la documentation officielle des jetons peut servir de guide, par exemple la page des jetons npm.

Il convient également de rappeler que cette attaque combine des éléments de communication à distance avec des infrastructures non conventionnelles; il est donc utile de connaître le concept de "solution de goutte morte" dans le cadre MITRE ATT & CK ( T1102.001) et comment des conteneurs d'ordinateur Internet sont utilisés ici comme ce type de canal résistant au bas. La documentation propre des conteneurs aide à comprendre pourquoi leur altération et leur décentralisation les rendent attrayants pour de tels abus : Documentation PCI.

Pour les équipes d'intervention et les infrastructures essentielles, les mesures pratiques comprennent le blocage des versions touchées au niveau de l'enregistrement ou de l'alimentation interne, la purge des unités de hachage et de verrouillage compromises, l'audit des chaînes d'approvisionnement avec des outils d'analyse unitaire et la mise en œuvre de politiques qui réduisent au minimum l'exposition des titres de compétences dans les coureurs et construisent des images. GitHub et d'autres fournisseurs ont des guides sur la façon de protéger les jetons et les secrets dans les pipelines; l'examen et l'application de bonnes pratiques de gestion secrètes sont essentiels pour limiter le rayon d'explosion de ces attaques ( Guide de GitHub sur les jetons et les secrets).

La campagne CanisterWorm met en lumière plusieurs tendances inquiétantes : la sophistication croissante des opérations criminelles dans la chaîne d'approvisionnement des logiciels, la réutilisation d'infrastructures décentralisées pour rendre la commande de logiciels malveillants plus résistante et la facilité avec laquelle les jetons et l'accès aux publications peuvent transformer un compte engagé en un multiplicateur de dommages. Les analyses publiques - comme le rapport technique d'Aikido Security qui documente ces constatations - sont des ressources précieuses pour comprendre les indicateurs de télémétrie et d'engagement et peuvent être consultées pour obtenir des informations techniques détaillées ( Analyse de l'aikido).

Nous sommes confrontés à un développement actif: les défenses doivent se déplacer rapidement pour neutraliser les publications malveillantes, supprimer les paquets infectés du registre public et couper l'accès des attaquants. Pendant ce temps, la communauté des développeurs doit supposer que tout paquet engagé peut être une porte d'entrée pour une propagation automatique et agir en conséquence : les dépendances de vérification, la rotation des titres exposés et les pipelines durcis. La combinaison de la surveillance, de la rotation des pouvoirs et des politiques moins privilégiées demeure la meilleure défense contre de telles menaces qui profitent de la confiance inhérente à l'écosystème de source ouverte.