Attaque de la chaîne d'approvisionnement : des paquets MemTensor compromis diffusent le voleur d'identifiants sckit هجوم على سلسلة التوريد: حزم MemTensor المخترقة تنشر سارق بيانات الاعتماد sckit
Des acteurs malveillants ont réussi à compromettre deux paquets légitimes de MemTensor distribués sur npm et PyPI. Ces paquets piégés installent un implant écrit en Go, baptisé sckit, capable de fonctionner sur Windows, Linux et macOS pour dérober des identifiants. Plusieurs sociétés de sécurité, dont Aikido, SafeDep, Socket et StepSecurity, ont documenté cette attaque de la chaîne d'approvisionnement logicielle. Les entreprises utilisant ces bibliothèques dans leurs projets s'exposent à un vol de données sensibles et à une compromission de leurs environnements de développement. تمكّن جهات تهديد مجهولة من اختراق حزمتين شرعيتين من MemTensor يتم توزيعهما عبر npm وPyPI. هذه الحزم المخترقة تُثبّت غرسة مكتوبة بلغة Go تُعرف باسم sckit، قادرة على العمل على أنظمة Windows وLinux وmacOS بهدف سرقة بيانات الاعتماد. وقد وثّقت عدة شركات أمنية، من بينها Aikido وSafeDep وSocket وStepSecurity، هذا الهجوم على سلسلة التوريد البرمجية. الشركات التي تستخدم هذه المكتبات في مشاريعها معرّضة لخطر سرقة بيانات حساسة واختراق بيئات التطوير الخاصة بها.
- Produits concernésالمنتجات المعنية
- Paquets npm et PyPI de MemTensor, notamment @memtensor/memos-cloud-openclaw-plugin حزم npm وPyPI الخاصة بـ MemTensor، من بينها @memtensor/memos-cloud-openclaw-plugin
- Niveau de criticitéمستوى الخطورة
- Critique حرج
- Risque pour l'entrepriseالمخاطر على الشركة
- Vol d'identifiants et compromission des systèmes Windows, Linux et macOS via des dépendances logicielles compromises سرقة بيانات الاعتماد واختراق أنظمة Windows وLinux وmacOS من خلال تبعيات برمجية مخترقة
- Action recommandéeالإجراء الموصى به
- Vérifier l'utilisation des paquets MemTensor concernés, les retirer ou remplacer par des versions non compromises, et surveiller les indicateurs de compromission dans les environnements de développement التحقق من استخدام حزم MemTensor المتأثرة، وإزالتها أو استبدالها بإصدارات غير مخترقة، ومراقبة مؤشرات الاختراق في بيئات التطوير
Résumé rédigé par une intelligence artificielle à partir des sources publiques citées ci-dessus, relu et validé par l'équipe IT Solutions avant publication — contenu informationnel, non contractuel. Consultez toujours la source officielle avant toute action. تم إعداد هذا الملخص بواسطة الذكاء الاصطناعي انطلاقًا من المصادر العامة المذكورة أعلاه، وتمت مراجعته والتحقق منه من طرف فريق IT Solutions قبل النشر — محتوى إخباري وليس تعاقديًا. يُرجى دائمًا الرجوع إلى المصدر الرسمي قبل اتخاذ أي إجراء.