Chaîne D’approvisionnement

Selon Socket (Socket.dev), l’équipe Threat Research a découvert 10 paquets npm typosquattés publiés le 4 juillet 2025, restés en ligne plus de quatre mois et cumulant plus de 9 900 téléchargements. L’acteur andrew_r1 (parvlhonor@gmx[.]com) exploite le hook postinstall pour exécuter automatiquement un malware obfusqué, affichant un faux CAPTCHA et imitant des installations légitimes, avant de télécharger un binaire voleur d’informations. 🚨 • Mécanisme d’exécution et tromperie: utilisation du script postinstall pour lancer un nouveau terminal et exécuter un payload JavaScript fortement obfusqué (wrapper eval auto‑décodant, XOR à clé dynamique dérivée du code, encodage URL, obfuscation du flux de contrôle). Le malware présente un faux CAPTCHA et des messages d’installation factices (ex. ethers, discord.js) pour masquer son activité. 🕵️‍♂️ ...

Selon Socket (socket.dev), l’équipe Threat Research a identifié 10 paquets npm typosquattés, publiés le 4 juillet 2025 et totalisant plus de 9 900 téléchargements en plus de quatre mois, qui orchestrent une opération de vol d’identifiants multi‑étapes. Les paquets imitent des bibliothèques populaires (TypeScript, discord.js, ethers.js, nodemon, react-router-dom, zustand) et ont été publiés par l’acteur « andrew_r1 ». Le vecteur d’exécution abuse du hook npm postinstall pour lancer un script install.js qui détecte l’OS et ouvre un nouveau terminal afin d’exécuter un payload obfusqué (app.js), masquant l’activité durant l’installation. Le code est protégé par quatre couches d’obfuscation: wrapper eval auto‑décodant, XOR à clé dynamique dérivée du code du déchiffreur, encodage URL et obfuscation du flot de contrôle (switch-case, bases mixtes hex/octal). ...

Source : Socket (blog Socket.dev) — Rapport de recherche sur l’abus des webhooks Discord comme infrastructure de commande et contrôle (C2) pour l’exfiltration de données. Le rapport met en évidence une tendance croissante où des acteurs malveillants exploitent les webhooks Discord comme C2 afin d’exfiltrer des données sensibles depuis des systèmes compromis. Ces campagnes s’appuient sur des paquets malveillants publiés sur npm, PyPI et RubyGems, qui envoient des informations collectées vers des salons Discord contrôlés par les attaquants, dès l’installation du paquet. ...

Selon un article publié le 13 octobre 2025, une fuite de données survenue en avril a compromis des données personnelles de citoyens (dont noms et adresses), sans affecter les opérations des élections générales. Ces informations divulguées constituent un levier pour des attaques d’ingénierie sociale hautement crédibles. Le texte souligne que, en 2024, les victimes d’arnaques à Singapour ont perdu un record de 1,1 milliard de dollars US, et que plus de trois quarts d’entre elles ont transféré l’argent volontairement sous influence des escrocs. ...

Selon la Personal Information Protection Commission (PIPC), l’autorité a récemment reçu des signalements de fuites de données provenant de plusieurs sociétés de gestion d’actifs et a ouvert une enquête. Les entreprises concernées ont déclaré avoir constaté des indices d’infections par ransomware lors de l’utilisation d’un service de serveur de fichiers fourni par GJTech. Elles rapportent la fuite d’informations personnelles, y compris des données d’employés. GJTech fournit des services d’équipements informatiques à des sociétés de gestion d’actifs et à des entreprises financières. Plusieurs sociétés seraient utilisatrices de ce service, ce qui laisse envisager un impact potentiel élargi au sein du secteur. ...

Selon BleepingComputer, Palo Alto Networks a confirmé avoir été victime d’une fuite de données via des tokens OAuth compromis provenant de l’incident Salesloft Drift, permettant à des attaquants d’accéder à son instance Salesforce. L’entreprise précise que l’impact est limité à son CRM Salesforce et n’affecte aucun produit, système ou service. L’attaque, suivie par Google Threat Intelligence sous le nom UNC6395, a exploité des tokens OAuth volés pour réaliser une exfiltration de masse de données depuis les objets Salesforce Account, Contact, Case et Opportunity. Les acteurs ont utilisé des outils automatisés (user-agents observés: python-requests/2.32.4, Python/3.11 aiohttp/3.12.15, Salesforce-Multi-Org-Fetcher/1.0, Salesforce-CLI/1.0), ont supprimé des logs/queries pour masquer leurs traces et ont recouru à Tor pour obfusquer leur origine. ...

Selon un papier de recherche soumis à l’IEEE par Ruby Nealon, l’attaque XZ Utils (backdoor visant les processus sshd via la bibliothèque liblzma chargée indirectement par systemd) a mis en lumière la persona « JiaT75 », qui a bâti la confiance pendant près de deux ans avant d’auto-fusionner une version piégée. L’étude montre qu’il est possible d’identifier, à partir de données publiques GitHub et Git, des signaux d’anomalies comportementales associés à de telles opérations de social engineering dans l’open source. ...

Selon BleepingComputer, une campagne de diffusion de packages malveillants touche l’écosystème RubyGems depuis mars 2023. L’article rapporte que 60 gems Ruby malveillants embarquent du code de vol d’identifiants et ont cumulé plus de 275 000 téléchargements. Les artefacts ciblent spécifiquement des comptes développeurs, augmentant le risque de compromission d’environnements de développement et d’accès à des dépôts ou services associés. Les points clés mis en avant sont : Vecteur: diffusion via l’écosystème RubyGems (packages malveillants). Capacité: exfiltration d’identifiants (credential stealing). Période: activité observée depuis mars 2023. Impact: large exposition avec un volume élevé de téléchargements (275 000+), augmentant la surface d’attaque au sein des chaînes de développement. Il s’agit d’un article de presse spécialisé visant à signaler une menace active et à informer sur son ampleur et sa cible principale. ...