Glassworm reprend ses attaques sur github : des milliers de reposoirs compromis
Une nouvelle vague d'attaques cibernétiques frappe GitHub. Le malware Glassworm, actif depuis près d'un an, a relancé ses opérations en mars, compromettant des centaines de dépôts, dont certains d'une importance capitale pour le monde du développement. L'attaque exploite des caractères Unicode invisibles pour cacher du code malveillant, une technique subtile qui échappe aux systèmes de détection classiques.
Les chercheurs d'Aikido, une firme spécialisée en cybersécurité, ont été les premiers à alerter sur cette résurgence. Les cibles incluent des projets majeurs comme Wasmer, Reworm et Anomalyco, les créateurs d'OpenCode et SST. En mars 2025, Aikido avait déjà mis en lumière des paquets malveillants sur npm, la plateforme de gestion de paquets JavaScript. Mais cette fois, l'ampleur du désastre semble bien plus vaste.
Une superficie d'attaque sans précédent
Selon Aikido, plus de 200 référentiels Python et JavaScript/TypeScript ont été touchés, ainsi que 72 extensions VSCode et Open VSX, et une dizaine de paquets npm. La méthode reste la même : des caractères Unicode invisibles sont utilisés pour encoder une charge utile, qui est ensuite déchiffrée et exécutée via Solana. Cette technique de dissimulation est particulièrement perfide, car elle peut passer inaperçue aux développeurs.
La sophistication des attaques laisse penser à l'utilisation de l'intelligence artificielle par les attaquants. « Il est tout simplement impossible de réaliser manuellement plus de 151 modifications de code personnalisées dans différents référentiels », explique Aikido. Les chercheurs notent que certains référentiels, comme pedronauck/reworm, comptent un nombre impressionnant d'étoiles (1460), ce qui les rend d'autant plus crédibles aux yeux des développeurs.
La variable « lzcdrtfxyqiplpd » est identifiée comme un indicateur de la présence du malware Glassworm. Les experts recommandent aux développeurs d'installer les paquets Python directement depuis GitHub ou d'exécuter les référentiels clonés afin de vérifier l'absence de compromission. L'attaque a dépassé GitHub pour affecter des outils comme VSCode, une nouvelle dimension inquiétante.
L'ampleur de cette nouvelle vague d'attaques soulève des questions sur la sécurité des outils de développement et la nécessité d'une vigilance accrue. La rapidité avec laquelle Glassworm s'adapte et exploite de nouvelles vulnérabilités démontre la complexité croissante de la menace cybernétique. L'affaire met en lumière la fragilité des chaînes d'approvisionnement logicielles et la nécessité d'intégrer des solutions de détection plus sophistiquées.
Les développeurs doivent désormais adopter une approche plus proactive, en vérifiant scrupuleusement les sources de leurs dépendances et en se méfiant des modifications de code inattendues. La vigilance est la seule véritable défense face à ces attaques.