Des paquets Terraform et Go piégés diffusent un malware via le registre HashiCorp حزم Terraform وGo مفخخة تنشر برمجية خبيثة عبر سجل HashiCorp
Des chercheurs en cybersécurité ont découvert que des cybercriminels utilisent pour la première fois le registre public HashiCorp pour distribuer un logiciel malveillant écrit en Go. Deux modules Go et deux fournisseurs Terraform malveillants, déjà téléchargés des centaines de fois, ont été identifiés. Cette méthode d'attaque exploite la confiance accordée aux dépôts logiciels centralisés, un vecteur encore peu surveillé par les équipes IT, ce qui représente un risque pour les entreprises utilisant Terraform dans leurs déploiements d'infrastructure cloud. اكتشف باحثون في الأمن السيبراني أن جهات تهديد تستخدم لأول مرة سجل HashiCorp العام لتوزيع برمجية خبيثة مكتوبة بلغة Go. تم تحديد وحدتي Go واثنين من موفري Terraform الخبيثين، اللذين تم تنزيلهما مئات المرات بالفعل. تستغل هذه الطريقة الثقة الممنوحة لمستودعات البرمجيات المركزية، وهو ناقل هجوم لا يزال قليل المراقبة من قبل فرق تقنية المعلومات، مما يشكل خطراً على الشركات التي تستخدم Terraform في نشر بنيتها التحتية السحابية.
- Produits concernésالمنتجات المعنية
- Fournisseurs Terraform et modules Go distribués via le registre HashiCorp (ex. gocommunity-io/dockerd, kreuzwenker/...) موفرو Terraform ووحدات Go الموزعة عبر سجل HashiCorp (مثل gocommunity-io/dockerd، kreuzwenker/...)
- Niveau de criticitéمستوى الخطورة
- Important مهم
- Risque pour l'entrepriseالمخاطر على الشركة
- Les entreprises utilisant des modules ou fournisseurs Terraform téléchargés depuis le registre HashiCorp risquent d'introduire un malware Go dans leurs environnements d'infrastructure cloud sans le savoir. الشركات التي تستخدم وحدات أو موفري Terraform التي تم تنزيلها من سجل HashiCorp معرضة لخطر إدخال برمجية خبيثة مكتوبة بلغة Go في بيئات بنيتها التحتية السحابية دون علمها.
- Action recommandéeالإجراء الموصى به
- Vérifier l'origine et l'intégrité des fournisseurs Terraform et modules Go utilisés, éviter les paquets peu connus ou récemment publiés, et auditer les dépendances déjà déployées. يجب التحقق من مصدر وسلامة موفري Terraform ووحدات Go المستخدمة، وتجنب الحزم غير المعروفة أو المنشورة حديثاً، ومراجعة التبعيات المنشورة بالفعل.
Résumé rédigé par une intelligence artificielle à partir des sources publiques citées ci-dessus, relu et validé par l'équipe IT Solutions avant publication — contenu informationnel, non contractuel. Consultez toujours la source officielle avant toute action. تم إعداد هذا الملخص بواسطة الذكاء الاصطناعي انطلاقًا من المصادر العامة المذكورة أعلاه، وتمت مراجعته والتحقق منه من طرف فريق IT Solutions قبل النشر — محتوى إخباري وليس تعاقديًا. يُرجى دائمًا الرجوع إلى المصدر الرسمي قبل اتخاذ أي إجراء.