Chaîne D'approvisionnement

Selon KrebsOnSecurity (Brian Krebs, 16 septembre 2025), une campagne visant l’écosystème NPM a vu l’émergence de Shai-Hulud, un ver auto-propagatif qui vole des identifiants (tokens NPM, clés cloud, etc.) et exfiltre ces secrets en les publiant dans des dépôts GitHub publics. Au moins 187 paquets NPM ont été touchés, dont des paquets liés à CrowdStrike (rapidement retirés par le registre NPM). Le ver recherche un token NPM dans l’environnement lors de l’installation d’un paquet compromis. S’il en trouve, il modifie les 20 paquets les plus populaires accessibles avec ce token, s’y copie puis publie de nouvelles versions, déclenchant une propagation en chaîne. Il utilise l’outil open source TruffleHog pour détecter des secrets (GitHub, NPM, AWS, Azure, GCP, SSH, API), tente de créer de nouvelles GitHub Actions et publie les données volées. Le design cible Linux/macOS et ignore Windows. ...

Selon BleepingComputer, la plus vaste compromission de chaîne d’approvisionnement de l’écosystème NPM a été mise en évidence. 🔗 L’article indique qu’il s’agit de l’incident de supply chain le plus important jamais observé dans NPM. ☁️ L’impact a concerné environ 10 % de l’ensemble des environnements cloud. 💸 Malgré cette ampleur, les attaquants ont réalisé peu de profits. Il s’agit d’un article de presse spécialisé visant à informer sur l’ampleur de l’incident et son impact financier limité. ...

SecurityAffairs rapporte que Zscaler a été impacté par la campagne de vol de jetons OAuth liée à Salesloft Drift, utilisée pour accéder à des instances Salesforce, sans compromission de ses produits ou de son infrastructure. • L’éditeur indique que des acteurs non autorisés ont obtenu des identifiants Drift permettant une visibilité limitée sur certaines données Salesforce de Zscaler. Les informations exposées comprennent des coordonnées professionnelles (noms, emails, titres, numéros, régions), des informations commerciales et de licences Zscaler, ainsi que du contenu de certains tickets de support. Zscaler a révoqué l’accès Drift à Salesforce, tourné les jetons API, lancé une enquête conjointe avec Salesforce, ajouté des garde-fous, revérifié ses tiers et renforcé l’authentification du support client. Aucune preuve d’abus des données n’a été trouvée à ce stade. ...

Source: Investigace.cz — Enquête sur le rôle d’acteurs basés en Tchéquie dans la chaîne d’approvisionnement d’Intellexa (Predator), sur fond de sanctions américaines et de procès en Grèce. L’enquête met au centre Dvir Horef Hazan, entrepreneur israélien installé à Krnov (Tchéquie), qui aurait servi de fournisseur/fixeur pour Intellexa et sociétés affiliées (au moins €1,73 M versés de 2019 à début 2023). À Krnov, plusieurs de ses entités (Zambrano Trade s.r.o., Hadastech s.r.o., Shilo s.r.o.) ont expédié vers Intellexa S.A. (Grèce) du matériel réseau, SDR/USRPs, routeurs cellulaires, serveurs, onduleurs, capteurs, avec une facture initiale en 2020 pour du « matériel de labo d’occasion » et des livraisons totalisant près de €500k. Un bon d’expédition (12/2020) mentionne « 18 palettes de pièces informatiques ». Une facture du 28/07/2022 cite un paiement pour POC « Aladin », système qu’Intellexa présentait en 2022 pour des infections à distance via publicités (potentiellement zero‑click). Hazan a aussi agi comme intermédiaire pour des stands de conférences (dont ISS World Prague 2022). ...

Cet article de Wiz.io décrit les activités de TraderTraitor, un groupe de menace parrainé par l’État nord-coréen, opérant sous l’ombrelle du groupe Lazarus. TraderTraitor cible spécifiquement les organisations de cryptomonnaie et de blockchain à travers des attaques sophistiquées, y compris l’ingénierie sociale avancée, les compromissions de la chaîne d’approvisionnement et les attaques basées sur le cloud. Le groupe a été lié à des vols majeurs de cryptomonnaie totalisant des milliards de dollars, tels que le vol de 308 millions de dollars de DMM Bitcoin et le piratage de 1,5 milliard de dollars de Bybit. ...

Bleeping Computer rapporte que le package NPM populaire nommé ‘is’ a été victime d’une attaque de la chaîne d’approvisionnement. Cette attaque a permis l’injection d’un malware avec une porte dérobée, offrant aux attaquants un accès complet aux appareils compromis. Le package ‘is’, largement utilisé dans de nombreux projets, a été modifié pour inclure un code malveillant. Ce type d’attaque est particulièrement préoccupant car il touche la chaîne d’approvisionnement logicielle, rendant potentiellement vulnérables tous les projets et systèmes utilisant ce package. ...

L’article de BleepingComputer rapporte une attaque sophistiquée menée par des acteurs nord-coréens qui ont infiltré le dépôt en ligne Node Package Manager (npm) avec 67 paquets malveillants. Ces paquets ont été conçus pour distribuer un nouveau chargeur de malware appelé XORIndex. Ce malware cible les systèmes des développeurs, ce qui peut potentiellement compromettre de nombreux projets et applications dépendant de ces paquets. L’intrusion dans le dépôt npm souligne une fois de plus la vulnérabilité des chaînes d’approvisionnement logicielles, un vecteur d’attaque de plus en plus prisé par les cybercriminels pour atteindre un large éventail de victimes indirectement. ...

Selon un article publié par Bleeping Computer, le plugin populaire Gravity Forms pour WordPress a été victime d’une attaque de la chaîne d’approvisionnement. Cette attaque a compromis les installateurs manuels disponibles sur le site officiel, en les infectant avec une porte dérobée. Gravity Forms est largement utilisé par les sites WordPress pour créer des formulaires personnalisés. L’attaque a ciblé spécifiquement les utilisateurs qui téléchargeaient et installaient manuellement le plugin depuis le site officiel, insérant un code malveillant dans le processus d’installation. ...

Selon un article de BleepingComputer, une vulnérabilité critique a été découverte dans OpenVSX, une plateforme d’hébergement d’extensions pour les environnements de développement. Cette faille, identifiée par Koi Security, aurait pu permettre à des attaquants de prendre le contrôle de millions de machines de développeurs en exploitant la chaîne d’approvisionnement des extensions. La vulnérabilité était de type zero-day, ce qui signifie qu’elle était inconnue avant d’être découverte par Koi Security. Elle a depuis été corrigée, mais cet incident souligne les risques croissants associés aux extensions en tant que vecteurs d’attaque dans les chaînes d’approvisionnement logicielles. ...

L’article publié par Infosecurity rapporte qu’UBS, une grande banque mondiale, a été victime d’une fuite de données après une cyber-attaque sur un fournisseur tiers. Selon un porte-parole d’UBS, l’incident n’a pas affecté les données des clients ni les opérations de la banque. L’attaque a ciblé un fournisseur externe, Chain IQ, basé en Suisse, entraînant le vol d’informations concernant UBS et d’autres entreprises. Le journal suisse Le Temps a révélé que les données de 130 000 employés d’UBS ont été publiées sur le dark web par un groupe de ransomware nommé World Leaks. Les informations compromises incluent les coordonnées professionnelles, les rôles des employés, ainsi que les détails de leur emplacement de travail. ...