13 paquets malveillants sur Packagist ciblent des iPhones non corrigés pour voler des graines de portefeuilles crypto
Des chercheurs en cybersécurité ont découvert 13 paquets Composer malveillants hébergés sur Packagist, conçus pour injecter du JavaScript dans des sites vietnamiens de streaming de films et de bandes dessinées utilisant ces bibliothèques, puis déployer un spyware sur les appareils iOS non mis à jour. Le code injecté réalise deux actions envers les visiteurs : une fraude publicitaire mobile et une redirection vers des sites de paris.
Cette attaque exploite la chaîne d'approvisionnement logicielle via des paquets tiers malveillants, un vecteur classique pour contourner les contrôles de sécurité applicatifs. Un audit RAID sur les dépendances externes et les composants tiers permettrait de détecter ces paquets suspects avant leur intégration dans un environnement de production.