Un paquet open source, c’est comme une poignée de main : ça n’a de valeur que si l’autre n’a pas les doigts crochus. Des paquets malveillants publiés sur npm (Node Package Manager) et PyPI (Python Package Index) se sont fait passer pour des kits de développement des services de paiement Paysafe, Skrill et Neteller. Objectif : distribuer un logiciel voleur d’identifiants aux développeurs et aux utilisateurs qui les auraient intégrés.
Points clés
- Des faux SDK Paysafe, Skrill et Neteller ont été publiés sur npm et PyPI.
- Une fois installés, ces paquets déploient un stealer qui vole les identifiants.
- Une attaque de type supply chain qui exploite la confiance des développeurs envers les dépendances open source.
Des SDK bidon en guise de cheval de Troie
Les attaquants ont mis en ligne de faux SDK usurpant l’identité des trois applications de paiement. Une fois installés dans un projet, ces paquets déploient un stealer, un malware conçu pour aspirer les identifiants et données sensibles présents sur la machine infectée. Rien de sorcier dans le principe : on maquille du code hostile en dépendance légitime et on attend que le développeur pressé fasse le reste.
Le poison dans la chaîne d’approvisionnement
Ces attaques dites de supply chain visent le maillon faible : la confiance. Un développeur qui cherche une brique pour intégrer un paiement tape le nom du service, tombe sur un paquet au nom crédible et l’installe sans regarder sous le capot. Le code malveillant se propage ensuite à tout logiciel embarquant la dépendance, avec les identifiants de paiement en ligne de mire.
La parade tient en quelques réflexes de base : vérifier l’éditeur officiel d’un paquet, se méfier des noms approchants (le typosquatting reste une valeur sûre chez les attaquants) et auditer ses dépendances plutôt que de faire une confiance aveugle au premier résultat de recherche. L’open source n’est pas le coupable ici. La négligence, si.
