Des chercheurs en sécurité ont identifié 18 packages npm malveillants impliqués dans une campagne ciblée visant la chaîne d’approvisionnement logicielle de développeurs utilisant des outils liés à Alibaba. Ces packages diffusent un cheval de Troie d’accès à distance (RAT) multiplateforme et semblent conçus pour atteindre des environnements de développement sinophones.
La campagne inclut lib-mtop, un package sans portée qui porte le même nom qu’un package Alibaba privé sous l’espace de noms @ali. Après avoir été initialement publié en 2023 sans fonctionnalité apparente, de nouvelles versions mises en ligne en mars et avril ont introduit un chargeur utilisant curl pour récupérer et exécuter du code JavaScript depuis un emplacement distant.
Les chercheurs ont indiqué que le même compte npm avait publié plusieurs packages supplémentaires usurpant l’identité de dépendances privées d’Alibaba. Certains servent principalement de wrappers vides, tandis que d’autres semblent légitimes lorsqu’ils sont examinés isolément. Ensemble, ces packages forment toutefois une chaîne de dépendances à plusieurs étapes qui s’active lors de l’installation. Jusqu’à 10 packages leurres dépendent de smart-config-manager, qui les relie à des composants de niveau inférieur contenant la logique malveillante.
Un composant récupère une configuration de moteur de règles depuis GitHub. Ces règles utilisent le module vm de Node.js pour déterminer la charge utile à télécharger en fonction du système d’exploitation de la victime. L’emplacement de téléchargement utilise un domaine ressemblant à celui d’Alibaba afin de paraître digne de confiance.
Comportement spécifique à chaque plateforme
- Windows : Le logiciel malveillant peut interrompre des applications d’entreprise Alibaba et remplacer des fichiers essentiels par des versions infectées.
- Linux : Il télécharge et lance un binaire depuis un répertoire temporaire, puis supprime le fichier après son chargement.
- macOS : Il modifie ~/.zshrc et crée un Launch Agent programmé pour s’exécuter périodiquement.
La porte dérobée finale prend en charge l’exécution de commandes, les transferts de fichiers, la découverte de l’hôte, la diffusion de charges utiles et un éventuel déplacement latéral. Elle peut également injecter du code dans des outils de collaboration, notamment DingTalk, Wukong et Qoder.
Les opérateurs n’ont pas été identifiés. Des commentaires en chinois et des horodatages de commits en UTC+08:00 suggèrent la présence possible d’un acteur sinophone, tandis que la conception ciblée de la campagne a conduit les chercheurs à considérer l’espionnage industriel comme un objectif potentiel.
Les noms des packages concernés incluent lib-mtop, aone-kit, aone-kit-cli, aone-sandbox, local-config-parser, smart-config-manager et 12 packages associés. Les organisations qui les ont installés doivent considérer les systèmes concernés comme potentiellement compromis, renouveler les identifiants depuis un appareil sain et rechercher sur les postes des développeurs toute persistance ou activité non autorisée.