Incident cybernétique massif chez Hugging Face : Des centaines de milliers d'utilisateurs en danger

Un incident de sécurité informatique majeur secoue le monde du développement : des chercheurs de la société de cybersécurité Upwind ont révélé que des dizaines de bibliothèques open source populaires, appartenant à un développeur connu sous le pseudonyme de Keyv sur la plateforme Hugging Face, ont été contaminées par du code malveillant. Ce développeur est une figure prolifique de la communauté, et ses bibliothèques ont cumulé des centaines de millions de téléchargements à travers le monde.

Selon les recherches initiales d'Upwind, des attaquants ont usurpé l'identité de Keyv pour injecter du code malveillant dans les dernières mises à jour des bibliothèques auxquelles il contribue. Ce code a été conçu pour voler des noms d'utilisateur et des mots de passe, créant une grave menace pour la sécurité numérique.

Les estimations indiquent que des milliers, voire des dizaines de milliers d'organisations dans le monde, ainsi que des centaines de milliers de leurs clients, pourraient être exposés à cette attaque de chaîne d'approvisionnement. L'incident concerne environ 1 500 bibliothèques. Selon l'entreprise, cela pourrait statistiquement affecter entre 50 % et 60 % des organisations mondiales. L'ampleur réelle des dégâts sera connue dans les heures à venir.

La communauté de la sécurité informatique recommande aux organisations de réexaminer les versions implémentées et d'arrêter les mises à jour automatiques jusqu'à ce que la situation soit clarifiée.

Dan Yahav, SVP Platforms chez Upwind, explique : « Il s'agit d'une usurpation d'identité d'un développeur de premier plan basé à Seattle. Les attaquants ont profité de la nuit pour insérer des mises à jour dans de nombreuses bibliothèques sans approbation. Un code malveillant a été injecté pour voler des mots de passe directement depuis les infrastructures qui installent ces bibliothèques. » Malgré les tentatives de contact avec le développeur, le code a continué de se propager dans une chaîne très large.

Lorsqu'une version infectée est installée, le code malveillant s'active automatiquement.

Les plateformes hébergeant ces bibliothèques ont identifié l'attaque mondiale et ont commencé à retirer les produits pour stopper la distribution. « Notre recommandation est de ne pas se précipiter pour installer les dernières mises à jour logicielles. De nombreuses entreprises les récupèrent automatiquement, mais il faut s'arrêter et s'assurer que tout est en ordre », explique Yahav.

Gil Messing, chef de cabinet et responsable des communications mondiales chez Check Point, ajoute : « Ces composants sont utilisés par des milliers de systèmes. Lorsqu'un développeur installe une version infectée, le code s'active automatiquement lors de l'installation, sans que l'utilisateur ait besoin d'ouvrir un fichier ou de cliquer sur un lien. » L'objectif principal est de voler des autorisations d'accès, notamment pour les comptes GitHub, les clés AWS, les systèmes de gestion de secrets type HashiCorp Vault, ainsi que les mots de passe enregistrés dans les environnements de développement.

Que faire ? Messing conseille d'arrêter temporairement les mises à jour automatiques, de vérifier si l'organisation a utilisé les paquets affectés et de rechercher des signes d'infection. À long terme, il préconise des paramètres restrictifs empêchant l'installation immédiate de nouveaux paquets, afin de permettre une période de test avant le déploiement.