Porte Dérobée

Selon Koi Security, des chercheurs ont identifié un deuxième package serveur MCP malveillant en une semaine, révélant une menace grandissante de chaîne d’approvisionnement visant les outils de développement IA. Le package npm @lanyer640/mcp-runcommand-server, d’abord publié comme légitime, a été ultérieurement armé tout en conservant ses fonctionnalités pour gagner la confiance et contourner les tests. Le package implémente une architecture à double porte dérobée: (1) un hook preinstall s’exécutant lors de npm install/npx qui ouvre immédiatement un shell inversé vers 45.115.38.27:2333 ; (2) une backdoor runtime qui, au lancement du serveur MCP, génère un shell interactif caché avec connexion TCP persistante. Malgré ces capacités, la fonctionnalité légitime de run_command est maintenue pour échapper à la détection. ...

Selon un article publié par Bleeping Computer, le plugin populaire Gravity Forms pour WordPress a été victime d’une attaque de la chaîne d’approvisionnement. Cette attaque a compromis les installateurs manuels disponibles sur le site officiel, en les infectant avec une porte dérobée. Gravity Forms est largement utilisé par les sites WordPress pour créer des formulaires personnalisés. L’attaque a ciblé spécifiquement les utilisateurs qui téléchargeaient et installaient manuellement le plugin depuis le site officiel, insérant un code malveillant dans le processus d’installation. ...

L’actualité rapportée par Sansec met en lumière une attaque de la chaîne d’approvisionnement qui a compromis plusieurs vendeurs de logiciels e-commerce. Sansec a découvert que 21 applications contenaient une même porte dérobée, injectée il y a six ans mais activée récemment, permettant aux attaquants de prendre le contrôle de serveurs e-commerce. Cette attaque affecte entre 500 et 1000 boutiques utilisant des logiciels compromis. Les entreprises touchées incluent des géants du commerce électronique, dont une multinationale de 40 milliards de dollars. Les logiciels affectés proviennent de Tigren, Meetanshi et MGS, avec des packages publiés entre 2019 et 2022. Les serveurs de ces vendeurs ont été compromis, permettant l’injection de portes dérobées dans leurs logiciels de téléchargement. ...

Cette actualité fait état d’une campagne de phishing à grande échelle qui cible spécifiquement les utilisateurs de WooCommerce. Les attaquants envoient une fausse alerte de sécurité incitant les utilisateurs à télécharger un ‘patch critique’. Cependant, ce patch n’est rien d’autre qu’une porte dérobée Wordpress, permettant aux attaquants d’accéder au site de l’utilisateur. WooCommerce est une plateforme de commerce électronique populaire, ce qui rend cette attaque particulièrement préoccupante pour les propriétaires de sites de commerce électronique. Une fois la porte dérobée installée, les attaquants peuvent avoir accès à toutes les données sensibles du site. ...