Une nouvelle attaque de la chaîne d’approvisionnement logicielle frappe l’écosystème open source. Des packages npm officiels de SAP ont été compromis afin de déployer un malware capable de voler des identifiants et des secrets sensibles sur les systèmes des développeurs.
Selon les chercheurs, cette attaque serait liée à un groupe identifié sous le nom de TeamPCP, connu pour ses campagnes ciblant les environnements de développement et les pipelines CI CD.
Une attaque supply chain particulièrement dangereuse
Quatre packages npm officiels ont été infectés avec du code malveillant avant d’être publiés sur le registre.
Une fois installés via npm, ces packages déclenchaient automatiquement un script malveillant capable de collecter et exfiltrer des données sensibles, notamment :
- tokens npm et GitHub
- clés SSH
- identifiants développeurs
- accès cloud AWS Azure et Google Cloud
- secrets Kubernetes
- variables d’environnement CI CD
Cette approche permet aux attaquants de compromettre non seulement un poste, mais potentiellement toute une chaîne de développement.
Une propagation dans les environnements DevOps
Le malware ne se contente pas de voler des données. Il est conçu pour se propager dans les workflows de développement.
Les chercheurs indiquent qu’il peut :
- injecter des workflows malveillants dans GitHub Actions
- compromettre des pipelines CI CD
- publier de nouvelles versions infectées
- étendre l’attaque à d’autres projets
Ce type de propagation transforme une simple compromission en attaque à grande échelle sur l’écosystème logiciel.
Pourquoi les développeurs sont ciblés
Les développeurs disposent d’un accès privilégié aux systèmes critiques :
- dépôts de code source
- infrastructures cloud
- systèmes internes
- secrets d’entreprise
En compromettant un développeur, un attaquant peut indirectement accéder à toute une organisation.
Mesures prises et recommandations
Les versions malveillantes ont été supprimées du registre npm. Les utilisateurs sont invités à vérifier immédiatement leurs dépendances.
Les experts recommandent :
- supprimer les versions compromises
- faire une rotation immédiate des clés et tokens
- auditer les accès GitHub et cloud
- vérifier les pipelines CI CD
- surveiller toute activité suspecte
- activer l’authentification multifacteur
Une tendance inquiétante
Cette attaque s’inscrit dans une vague croissante d’attaques supply chain visant les registres open source comme npm. Ces plateformes sont devenues des cibles majeures car elles permettent de diffuser du code malveillant à grande échelle via des dépendances automatisées.
Source : BleepingComputer
