La découverte du ver Mini Shai-Hulud marque une escalade critique dans les attaques de la chaîne d’approvisionnement. Pour la première fois, des paquets malveillants ont été identifiés comme comportant des attestations de provenance SLSA de niveau 3 valides. En détournant les jetons OIDC de GitHub Actions, les attaquants ont forcé des pipelines légitimes à signer et à publier des logiciels malveillants cryptographiquement impossibles à distinguer du code de confiance.
Tribune – Ci-dessous, l’analyse et les commentaires d’Amit Geynis, Malware Research Group Lead chez JFrog, qui explique pourquoi la confiance traditionnelle « basée sur l’identité » est en train d’échouer :
« L’attaque « Shai-Hulud : Here We Go Again » prouve que la publication de confiance de npm n’est pas suffisante et que la confiance est en train d’être transformée en arme. En détournant des jetons OIDC, les attaquants ont publié des logiciels malveillants avec une provenance de build valide. Cette variante inclut un gh-token-monitor destructeur qui agit comme un ‘dead man’s switch’. Si vous révoquez les jetons avant d’isoler l’hôte, la charge utile efface vos données.
La sécurité traditionnelle repose sur l’identité. Cela a échoué ici. Pour protéger votre chaîne d’approvisionnement, vous devez passer à une gouvernance au niveau binaire. Cela nécessite une source unique de vérité qui applique des contrôles automatisés, y compris une quarantaine obligatoire de 14 jours pour les nouvelles versions. Ne vous contentez pas de vérifier d’où vient le code. Vérifiez le contexte de ce qu’il fait et les dépendances qu’il utilise. La gouvernance doit suivre le rythme des menaces actuelles. »
