Une Menace Silencieuse : Comment des Hackers ont Utilisé l'IA pour Planter 800 Paquets Malveillants sur npm

Dans une escalade critique menaçant le cœur des chaînes d'approvisionnement logicielles (Software Supply Chain), des experts en cybersécurité ont découvert une campagne féroce ciblant simultanément les systèmes Windows, Mac et Linux. Le danger ne vient plus de courriels de phishing, mais se cache à l'intérieur des bibliothèques de code que les développeurs utilisent quotidiennement.

Le Piège de l'IA : Une Nouvelle Tactique Furtive

Les attaquants ont inondé le registre npm de près de 800 paquets malveillants. Ce qui rend cette attaque terrifiante, c'est leur utilisation de l'Intelligence Artificielle pour générer des noms de paquets trompeurs (typosquatting) afin de piéger les développeurs. Contrairement aux attaques traditionnelles qui s'appuient sur des scripts d'installation automatiques (preinstall/postinstall), cette campagne repose sur l'ingénierie sociale pure. Le fichier README demande au développeur de charger manuellement le paquet en utilisant la fonction require(), évitant ainsi habilement les scanners de logiciels malveillants automatisés.

Le Virus "WEL1DROPPER" : Un Démon Multiplateforme

Une fois le paquet invoqué, il déclenche un téléchargeur malveillant nommé WEL1DROPPER. Ce programme identifie intelligemment le système d'exploitation et l'architecture du processeur de l'hôte, puis récupère sa charge utile destructrice (un puissant RAT et Infostealer) via des serveurs Cloudflare Workers.

Que se passe-t-il si la connexion HTTPS directe échoue ? C'est là que réside la ruse des hackers. Le virus passe à l'utilisation des enregistrements DNS TXT pour extraire les commandes de l'étape suivante à partir de domaines russes comme wel1[.]ru. Il analyse les chaînes de caractères, les assemble, et les décode en Base64 pour former un fichier binaire exécutable.

Techniques de Camouflage et Contrôle Spécifique à l'OS

• Windows : Le virus désactive activement les interfaces d'analyse antimalware (AMSI) et le suivi des événements (ETW), puis établit une persistance en s'implantant dans les clés de registre Run.
• macOS : Le malware exécute des vérifications rigoureuses pour détecter les débogueurs avant de sécuriser sa persistance via un LaunchAgent.
• Linux : Le système déploie un binaire ELF compressé par UPX qui finit par installer Sliver, un framework de commande et contrôle (C2) open-source.

Pour accroître la dissimulation, ces paquets contiennent un faux fichier nommé telemetry.js. Il ressemble exactement à un SDK de suivi des performances inoffensif, mais sert de couverture pour cacher le comportement malveillant lors de révisions humaines rapides. Des attaques similaires ciblant les dépôts PyPI pour voler des portefeuilles de cryptomonnaies et des clés d'environnement (.env) ont également été observées.

La Menace s'Étend : Les Extensions Chrome Deviennent des Espions

Les hackers ne se sont pas arrêtés aux dépôts de code ; les attaques se sont étendues à votre navigateur web. De récents rapports de sécurité soulignent l'utilisation d'extensions Chrome d'apparence innocente—telles que des gestionnaires de mots de passe et des émulateurs de jeux—pour transformer le navigateur de l'utilisateur en un proxy secret de web scraping. Cela est réalisé en injectant des iframes cachées et en recevant des commandes à distance via une connexion WebSocket persistante pour exfiltrer des données en arrière-plan.