Pendant des années, le conseil standard était simple : maintenez vos logiciels à jour. Ce conseil tient toujours, mais une vague croissante d'attaques de la chaîne d'approvisionnement montre que la mise à jour elle-même peut être la menace. Les attaquants compromettent des paquets open source légitimes et abusent des canaux de mise à jour de confiance pour diffuser des malwares voleurs d'identifiants. Pour quiconque dépend des mises à jour automatiques et des dépendances tierces, apprendre à vérifier les mises à jour logicielles et à repérer les malwares de la chaîne d'approvisionnement est désormais une nécessité pratique, et non un passe-temps d'expert.

Cela compte particulièrement pour les utilisateurs de VPN. Un client VPN, une extension de navigateur ou un gestionnaire de mots de passe se situe à proximité de vos identifiants et de votre trafic. Si l'installateur est altéré, l'outil que vous avez choisi pour vous protéger devient la porte d'entrée.

Comment les attaquants transforment des mises à jour de confiance en voleurs d'identifiants

La logique derrière une attaque de la chaîne d'approvisionnement est qu'il est plus facile de compromettre une source de confiance que de cibler des milliers de personnes individuellement. Si un attaquant parvient à introduire du code malveillant dans un paquet open source légitime, ou dans le canal qu'un fournisseur utilise pour distribuer des mises à jour, chaque utilisateur qui récupère cette mise à jour fait le travail à sa place.

Cela fonctionne en raison de la confiance considérable que nous accordons au processus. Votre système d'exploitation ou votre application indique qu'une mise à jour est disponible, elle provient de l'endroit attendu, et elle semble normale. Beaucoup de gens ne la remettent jamais en question, et de nombreuses configurations installent les mises à jour automatiquement sans aucune vérification humaine.

La charge utile dans les attaques décrites dans les sources rapportées est un malware voleur d'identifiants. Cela signifie que les mots de passe enregistrés, les données de session et autres détails de connexion sont la cible. Une fois volés, ces identifiants peuvent être utilisés pour accéder aux e-mails, aux systèmes professionnels et aux comptes cloud, souvent sans qu'aucun autre malware ne soit nécessaire.

Les dépendances tierces ajoutent une couche supplémentaire. Les logiciels modernes sont assemblés à partir de nombreux composants open source, de sorte qu'une compromission dans un petit paquet peut se propager dans des applications plus vastes qui l'incluent. Les utilisateurs du produit final peuvent ne jamais savoir que ce composant existe.

Ce que la violation de TrueConf révèle sur les installateurs trojanisés

L'incident TrueConf est un exemple concret de ce schéma. TrueConf, une plateforme de vidéoconférence, est devenu le dernier fournisseur de logiciels victime d'une compromission de la chaîne d'approvisionnement, selon les informations de BleepingComputer. Notre couverture de la violation de TrueConf et de ses installateurs trojanisés détaille comment les attaquants se sont introduits dans l'environnement du fournisseur.

La leçon essentielle ne concerne pas une seule entreprise. Un installateur trojanisé ressemble à l'original parce qu'il est diffusé par le propre canal de distribution du fournisseur. Un utilisateur qui le télécharge depuis la source officielle, fait tout correctement selon les normes conventionnelles, et se retrouve malgré tout avec une machine compromise, a été trahi par le modèle de confiance, et non par sa propre négligence.

C'est pourquoi le conseil doit passer de « téléchargez depuis le site officiel » seul à « téléchargez depuis le site officiel et confirmez que le fichier est bien celui que le fournisseur avait l'intention de publier ». Les deux vérifications protègent contre des problèmes différents.

Comment vérifier une mise à jour logicielle avant de l'installer

Vous n'avez pas besoin d'être développeur pour adopter quelques habitudes de vérification. Ces étapes sont classées approximativement par ordre d'effort.

  • Vérifiez la signature numérique. Sous Windows, faites un clic droit sur un installateur, ouvrez Propriétés et consultez l'onglet Signatures numériques. Sous macOS, le système vérifie la signature et la notarisation lorsque vous ouvrez une application. Un nom d'éditeur manquant ou inattendu est une raison de s'arrêter.
  • Comparez les sommes de contrôle. De nombreux fournisseurs publient un hachage SHA-256 pour chaque version. Calculez le hachage de votre fichier téléchargé et comparez-le à la valeur publiée. Idéalement, trouvez cette valeur dans un endroit distinct du lien de téléchargement, comme les notes de version ou une annonce signée. Si les deux se trouvent sur le même serveur compromis, une correspondance ne prouve pas grand-chose.
  • Utilisez des paquets signés et des gestionnaires de paquets. Les gestionnaires de paquets réputés vérifient les signatures pour vous. Préférez-les aux installateurs téléchargés manuellement lorsque c'est possible.
  • Verrouillez et examinez les dépendances si vous développez des logiciels. Si vous exécutez des scripts ou des projets qui intègrent des paquets open source, verrouillez les versions plutôt que d'accepter la plus récente, et examinez les changements avant de mettre à niveau.
  • Retardez brièvement les mises à jour non urgentes. Attendre un peu après une publication donne à la communauté et aux fournisseurs la possibilité de signaler une version compromise. Les correctifs de sécurité critiques font exception, faites donc preuve de jugement.

Aucune vérification n'est parfaite. Les signatures peuvent être abusées si le processus de signature d'un fournisseur est compromis, et les sommes de contrôle ne sont utiles que si vous les obtenez d'un endroit indépendant. C'est la superposition des vérifications qui élève le niveau d'exigence.

Signaux d'alerte et habitudes d'installation plus sûres pour les utilisateurs de VPN

Parce que les logiciels VPN traitent du trafic sensible, ils méritent une routine plus stricte qu'une application ordinaire.

Surveillez ces signes d'avertissement :

  • Une invite de mise à jour qui apparaît de façon inattendue, en dehors du mécanisme de mise à jour normal de l'application
  • Un lien de téléchargement envoyé par e-mail, messagerie ou fenêtre pop-up plutôt qu'atteint via le site du fournisseur ou votre boutique d'applications
  • Un installateur qui demande plus d'autorisations que les versions précédentes
  • Un fichier avec une signature manquante, un nom d'éditeur différent, ou un hachage qui ne correspond pas
  • Un comportement étrange après une mise à jour, comme des processus inconnus, de nouvelles extensions de navigateur ou des alertes de connexion inattendues

Adoptez des habitudes plus sûres :

  • Installez les clients VPN depuis le site officiel du fournisseur ou la boutique d'applications de votre plateforme, et mettez cette adresse en favori au lieu de la rechercher à chaque fois.
  • Activez l'authentification multifacteur pour les comptes importants, afin qu'un mot de passe volé seul ne suffise pas.
  • Utilisez un gestionnaire de mots de passe et évitez d'enregistrer des identifiants dans des navigateurs auxquels vous ne faites pas entièrement confiance, ce qui limite ce qu'un voleur peut récupérer.
  • Maintenez un ensemble distinct et minimal de logiciels sur les appareils utilisés pour des travaux sensibles.
  • Si vous suspectez un installateur compromis, déconnectez-vous du réseau, changez vos mots de passe depuis un appareil propre, et révoquez les sessions actives.

Ce que cela signifie pour vous

Les mises à jour automatiques ne sont pas l'ennemi. Pour la plupart des gens, rester à jour reste plus sûr que de rester en retard. Ce qui change, c'est que les mises à jour ne méritent plus une confiance aveugle, en particulier pour les logiciels qui touchent à vos identifiants ou à votre trafic réseau. Le cas TrueConf, comme couvert dans notre reportage sur la façon dont les installateurs trojanisés cachent des portes dérobées, montre que même le canal de distribution d'un fournisseur bien connu peut être retourné contre ses utilisateurs.

Vous pouvez réduire votre exposition avec de petites étapes répétables plutôt qu'une inquiétude constante : confirmez les signatures, comparez les sommes de contrôle provenant d'une source indépendante, et utilisez des comptes protégés par l'authentification multifacteur afin qu'un seul mot de passe volé ne déverrouille pas tout.

Points clés à retenir

  • Les attaquants compromettent des paquets open source légitimes et des canaux de mise à jour de confiance pour diffuser des malwares voleurs d'identifiants.
  • Un installateur trojanisé peut provenir de la source officielle, donc la provenance seule n'est pas une preuve de sécurité.
  • Pour vérifier les mises à jour logicielles et repérer les malwares de la chaîne d'approvisionnement, vérifiez les signatures, comparez les sommes de contrôle publiées indépendamment, et préférez les gestionnaires de paquets signés.
  • Traitez les invites de mise à jour inattendues, les hachages non correspondants et les comportements inhabituels après mise à jour comme des signaux d'alerte.
  • Protégez vos comptes avec l'authentification multifacteur et un gestionnaire de mots de passe pour limiter les dégâts si quelque chose passe à travers.

Commencez par adopter une habitude cette semaine, comme vérifier la signature de votre prochaine mise à jour de VPN ou d'outil de sécurité. Ensuite, lisez notre couverture de la violation par installateur trojanisé de TrueConf pour voir comment ce type d'attaque se déroule dans le monde réel.