Les malwares visant la chaîne d’approvisionnement évoluent et commencent à se propager comme des vers

Comment les malwares à propagation autonome, tels que Shai-Hulud, transforment les processus de travail des développeurs, pourtant réputés fiables, en vecteurs d’attaque

Ce qu’il faut retenir

• Une nouvelle catégorie de malwares de chaîne d’approvisionnement peut s’auto-propager à travers les écosystèmes logiciels, et compromettre bien plus qu’un seul package.
• Le ver Shai-Hulud combine le vol d’identifiants avec l’infection automatisée de packages et leur republication.
• Cela témoigne d’une évolution : nous sommes passés de compromissions ciblées de la chaîne d’approvisionnement à une propagation automatisée et à grande échelle via les chaînes de dépendances.
• Ce risque s’étend aux services cloud et aux pipelines CI/CD en raison du vol d’identifiants.
• La réduction des risques dépend de la sécurisation des flux de travail des développeurs, de la limitation de l’exposition des identifiants et de l’amélioration de la visibilité du pipeline.

Un changement dans la façon dont fonctionnent les attaques visant la chaîne d’approvisionnement

Pendant des années, la plupart des attaques visant la chaîne d’approvisionnement reposaient sur un seul point de vulnérabilité. Un pirate obtenait l’accès à un fournisseur ou à une bibliothèque et insérait du code malveillant dans une mise à jour fiable. De là, l’attaque ne se propageait que jusqu’à la limite autorisée par ce canal de distribution.

Cela a changé. Des menaces émergentes comme Shai-Hulud montrent que les pirates s’orientent vers des attaques auto-propagatrices ciblant la chaîne d’approvisionnement et se propageant à travers les écosystèmes de développeurs sans contrôle continu de leur part. Au lieu de maintenir l’accès à une seule source, le malware transforme chaque nouvel environnement compromis en un nouveau point de distribution.

Ce que fait réellement le ver Shai-Hulud

Shai-Hulud cible les écosystèmes de développement tels que npm, PyPI, GitHub et les pipelines CI/CD. Il s’exécute lors de l’installation d’un package, souvent sans intervention de l’utilisateur, en exploitant de manière abusive les processus normaux de gestion des dépendances.

Une fois activé, il suit un modèle répétitif :

• Il vole des identifiants tels que les jetons GitHub, les identifiants npm et les clés cloud.
• Il utilise ces identifiants pour accéder aux référentiels et aux services.
• Il injecte du code malveillant dans les packages de la victime, puis les republie.
• Il continue de se propager à travers les chaînes de dépendances.

Ce processus lui permet de se propager vers l’extérieur à travers l’écosystème logiciel, plutôt que latéralement au sein d’un seul réseau, créant une croissance potentiellement rapide à mesure que davantage de packages et de dépendances sont infectés.

En quoi cela constitue-t-il un changement significatif par rapport aux précédentes attaques visant la chaîne d’approvisionnement ?

Shai-Hulud représente un changement structurel plutôt qu'une simple nouvelle variante.

Les attaques traditionnelles visant la chaîne d’approvisionnement :

• sont généralement des événements de distribution un vers plusieurs
• dépendent d’une source compromise spécifique
• se propagent passivement lorsque les utilisateurs installent des mises à jour

En revanche, les malwares de type ver visant la chaîne d’approvisionnement :

• se propagent en relations plusieurs-à-plusieurs grâce à des relations de confiance entre les développeurs et les packages
• utilisent l’automatisation et la réutilisation des identifiants plutôt que le contrôle manuel par les pirates
• peuvent se propager à grande échelle grâce aux graphes de dépendances

Cela transforme la chaîne d'approvisionnement elle-même en un mécanisme de propagation actif.

Un autre facteur important est la rapidité avec laquelle ce modèle peut être réutilisé. La mise à disposition publique du code Shai-Hulud a donné lieu à de multiples variantes et à des campagnes d’imitation, ce qui a facilité l’adoption de techniques similaires par les pirates.

Les risques que cela engendre pour votre organisation

Une propagation rapide à faible résistance

Le malware s’exécute lors de l’installation normale du package, sans nécessiter d’hameçonnage ni d’action de l’utilisateur. Cela réduit les opportunités de détection par les contrôles traditionnels axés sur l’utilisateur.

Compromission par identifiants

L’objectif principal est de capturer les identifiants liés aux systèmes de développement et d’infrastructure. Une fois obtenus, ces identifiants permettent aux pirates de se déplacer au-delà du système d’origine.

Une exposition au-delà des terminaux

Étant donné que les flux de travail de développement modernes se connectent directement aux plateformes cloud et aux systèmes de déploiement, un seul package infecté peut ouvrir la voie aux pipelines CI/CD et aux environnements cloud.

Exploiter des plateformes de confiance

Le malware utilise des services légitimes tels que GitHub pour stocker ou transmettre des données volées, ce qui rend le comportement malveillant plus difficile à distinguer des flux de travail normaux.

Un impact variable en aval

Bien que le vol et la propagation des identifiants soient des caractéristiques constantes, certaines variantes peuvent présenter d’autres comportements, notamment des charges utiles destructrices ou secondaires.

Comment réduire les risques liés aux attaques de type ver visant la chaîne d’approvisionnement

Environnements de développement sécurisés

Les postes de travail des développeurs et les systèmes de compilation sont au cœur de ce modèle d'attaque. Leur protection et leur surveillance doivent être considérées comme une priorité.

Renforcer la gestion des identifiants

Limiter ce à quoi les identifiants peuvent accéder réduit le potentiel de propagation :

• Utilisez des jetons à durée de vie limitée
• Appliquer le principe du moindre privilège
• Renouvelez régulièrement vos identifiants

Renforcer les contrôles de dépendance

Pour réduire l’exposition au niveau du package :

• Veuillez examiner les dépendances nouvelles et mises à jour avant de les utiliser
• Surveillez les changements inattendus ou les activités de publication inhabituelles
• Restreignez les droits d’édition des packages lorsque possible

Améliorer la visibilité sur le pipeline

Comprendre comment le code se déplace dans votre environnement vous aide à détecter les anomalies :

• Suivez l’utilisation des dépendances et les mises à jour
• Surveillez l’activité des référentiels et des pipelines CI/CD
• Identifiez les changements inattendus dans la propriété ou le comportement des packages

Se préparer à une réponse aux incidents plus globale

Si ce type de malware est détecté, il ne doit pas être traité comme un simple package compromis. Une réponse complète peut inclure la rotation des identifiants, des audits des référentiels et un examen de l’infrastructure.

Pourquoi cette tendance est importante pour les PME et les équipes informatiques réduites

Pour les petites équipes, le défi consiste à équilibrer vitesse et sécurité. Le développement moderne dépend fortement de composants open-source et de flux de travail automatisés, ce qui augmente l’exposition aux risques de la chaîne d’approvisionnement.

Les malwares de type ver ajoutent une couche supplémentaire de complexité en transformant des processus de confiance en voies de propagation. Il est donc plus difficile de se fier aux hypothèses traditionnelles concernant l’origine des menaces ou leur mode de propagation.

Comment la détection et la réponse multicouches peuvent vous aider

Parce que ces attaques mêlent l'abus d'identifiants, l'activité des développeurs et l'accès au cloud, la détection nécessite souvent une visibilité simultanée sur plusieurs environnements.

Une approche gérée et inter-domaines peut permettre de mettre en évidence les types de signaux générés par ces attaques, tels que l’utilisation inhabituelle d’identifiants, une activité inattendue au niveau des référentiels ou un comportement anormal dans les pipelines de développement.

La solution Barracuda Managed XDR s’avère précieuse en corrélant l’activité entre les terminaux, les identités et les services cloud, ce qui permet de détecter et de circonscrire plus facilement un incident avant qu’il ne se propage au-delà de la compromission initiale. En combinant l’automatisation par IA avec une supervision humaine experte, cela se fait sans ajouter de complexité opérationnelle à vos flux de travail informatiques.