Des hackers exploitent des contrats Ethereum pour dissimuler des logiciels malveillants dans des paquets npm
- Des logiciels malveillants utilisent des contrats Ethereum pour des commandes cachées
- Des paquets npm malveillants exploitent des bibliothèques open source
- Une fausse campagne inclut des bots de trading de cryptomonnaies
Un rapport récent de la société de sécurité ReversingLabs a révélé que des hackers utilisent des smart contracts Ethereum dans le cadre d'une nouvelle technique pour dissimuler des logiciels malveillants dans des paquets npm. Cette approche a été identifiée dans deux paquets publiés en juillet, appelés "colortoolsv2" et "mimelib2", qui extrayaient des instructions de commande et de contrôle directement à partir de contrats on-chain.
Selon la chercheuse Lucija Valentic, les paquets exécutaient des scripts obscurcis qui interrogeaient des contrats Ethereum afin de localiser la charge utile pour la prochaine étape de l'infection. Cette méthode remplace la pratique traditionnelle d'insérer des liens directement dans le code, ce qui complique la tâche des mainteneurs de bibliothèques pour détecter et supprimer le logiciel malveillant. « C'est quelque chose que nous n'avions jamais vu auparavant », a déclaré Valentic, soulignant la sophistication de la technique et la rapidité avec laquelle les acteurs malveillants adaptent leurs stratégies.
En plus d'utiliser des smart contracts, les attaquants ont créé de faux dépôts GitHub à thème cryptomonnaie, tels que des bots de trading, qui affichaient une activité artificiellement gonflée. De fausses étoiles, des commits automatisés et des profils fictifs de mainteneurs étaient utilisés pour tromper les développeurs et les inciter à faire confiance aux paquets et à les inclure dans leurs projets.
Bien que les paquets identifiés aient déjà été supprimés après un signalement, ReversingLabs a averti que l'incident fait partie d'une campagne plus vaste visant à compromettre les écosystèmes npm et GitHub. Parmi les faux dépôts figurait "solana-trading-bot-v2", qui comportait des milliers de commits superficiels pour gagner en crédibilité tout en insérant des dépendances malveillantes.
Valentic a expliqué que l'enquête a révélé des preuves d'un effort coordonné plus large visant à infiltrer du code malveillant dans des bibliothèques largement utilisées par les développeurs. « Ces récentes attaques menées par des acteurs malveillants, y compris la création d'attaques sophistiquées utilisant la blockchain et GitHub, montrent que les attaques sur les dépôts évoluent », a-t-elle souligné.
L'entreprise avait également identifié des campagnes précédentes qui abusaient de la confiance des développeurs dans les paquets open source. Cette dernière campagne, cependant, démontre comment la technologie blockchain est intégrée de manière créative dans des schémas de logiciels malveillants, augmentant la complexité de la sécurité dans l'écosystème de développement d'applications et de projets liés aux cryptomonnaies.
Avertissement : le contenu de cet article reflète uniquement le point de vue de l'auteur et ne représente en aucun cas la plateforme. Cet article n'est pas destiné à servir de référence pour prendre des décisions d'investissement.
Vous pourriez également aimer
Les fonds spéculatifs ont déjà « perdu la moitié de leurs gains » cette année, et les pertes ont été « particulièrement sévères » ces dernières semaines ; un associé de Goldman Sachs indique qu’il faut attendre que les actifs « de qualité médiocre » cessent leur chute.
Les actifs de mauvaise qualité à la base de la structure du capital de l'intelligence artificielle restent sous pression. Tant que les actifs IA de mauvaise qualité représentés par CoreWeave continuent de baisser, tout rebond des actions IA ne sera qu'un mouvement de correction des positions, et non une réévaluation des fondamentaux.
CoreWeave, l'œil du cyclone de l'effondrement actuel de l'IA, victime à la fois des actions et des obligations
Le cours de l'action CoreWeave a chuté de 25 % en une semaine, le rendement des obligations spéculatives a grimpé à 15 %, la probabilité de défaut dépassant 60 %, ce qui déclenche une crise de financement pour les infrastructures liées à l'IA. Ce "double massacre actions-obligations" a entraîné une baisse de 11 % de l'indice des semi-conducteurs de Philadelphie et la plus mauvaise performance hebdomadaire de l'année pour le Nasdaq 100. Des analystes de marché mettent en garde : il s'agit d'un tournant dans la tarification du crédit liée à la vague de l'IA — le modèle d'expansion à fort effet de levier et endettement est désormais mis à rude épreuve dans un contexte de taux d'intérêt élevés.
Prévisions précises de chute par Hartnett de Bank of America : le "signal de vente" est terminé, les investisseurs reviendront aux actions technologiques "mi-novembre", l'essentiel dépendra du "prix des puces".
Le signal de vente de Bank of America a été levé, mais cela ne signifie pas que c'est le moment de saisir le creux du marché. Actuellement, la fissure du financement lié à l'IA s'élargit et les valeurs technologiques sont extrêmement surpeuplées. Les stratégistes mettent en garde : le retour sur les valeurs technologiques en novembre dépend en totalité du facteur décisif qu'est le « prix des semi-conducteurs ». À court terme, il est recommandé d'éviter temporairement la technologie, de rester défensif et de se positionner sur les petites capitalisations et les REITs.
Prix des cryptos
Plus
