SlowMist : une attaque malveillante sur la chaîne d'approvisionnement visant les utilisateurs de npm et les développeurs DeFi a été détectée

Selon Foresight News, d'après la surveillance de SlowMist, MistEye a détecté une activité malveillante coordonnée sur la chaîne d'approvisionnement npm. Cette opération utilise de faux référentiels de code de robots de trading et des packages npm sur le thème du DeFi pour diffuser des outils JavaScript de vol d'informations auprès des utilisateurs de npm, des développeurs DeFi et des utilisateurs de robots de trading.

L'activité implique 30 packages npm malveillants, comprenant stake-math@3.5.4, qui apparaît comme dépendance verrouillée dans donoaccestag/forex-mt5-trading-bot. Ce référentiel présente des signaux clairement anormaux : il dépend de packages npm malveillants déjà signalés comme dangereux, et compte environ 2300 forks hautement similaires, probablement générés en masse, principalement concentrés sous le compte poly-stocks.

Les comportements potentiels des attaquants incluent le vol de données locales sensibles telles que les portefeuilles crypto, les cookies navigateur, les mots de passe enregistrés, l'historique de navigation, les identifiants des développeurs, l'historique shell, les coffres-forts des gestionnaires de mots de passe, les clés privées, les phrases mnémotechniques ainsi que les jetons API trouvés dans le code source. Les développeurs doivent supprimer immédiatement les packages npm concernés, auditer package.json / package-lock.json et les journaux CI pour rechercher ces 30 packages malveillants, considérer tout système ayant exécuté npm install comme potentiellement compromis, remplacer rapidement les portefeuilles, clés privées, jetons npm, identifiants Cloud, clés SSH et jetons API exposés, et reconstruire l’environnement affecté à partir d’une image propre.