Des acteurs malveillants ont été observés en train de télécharger un ensemble de huit packages dans le registre npm qui se présentaient comme des intégrations ciblant la plate-forme d'automatisation des flux de travail n8n pour voler les informations d'identification OAuth des développeurs.
L'un de ces packages, appelé « n8n-nodes-hfgjf-irtuinvcm-lasdqewriit », imite une intégration Google Ads et demande aux utilisateurs de lier leur compte publicitaire d'une manière apparemment légitime, puis de le rediriger vers des serveurs sous le contrôle des attaquants.
“L'attaque représente une nouvelle escalade des menaces sur la chaîne d'approvisionnement”, a déclaré Endor Labs dans un rapport publié la semaine dernière. « Contrairement aux logiciels malveillants NPM traditionnels, qui ciblent souvent les informations d'identification des développeurs, cette campagne a exploité des plates-formes d'automatisation des flux de travail qui agissent comme des coffres-forts d'informations d'identification centralisés, contenant des jetons OAuth, des clés API et des informations d'identification sensibles pour des dizaines de services intégrés tels que Google Ads, Stripe et Salesforce en un seul endroit.
La liste complète des packages identifiés, qui ont depuis été supprimés, est la suivante :
- n8n-nodes-hfgjf-irtuinvcm-lasdqewriit (4241 téléchargements, auteur : kakashi-hatake)
- n8n-nodes-ggdv-hdfvcnnje-uyrokvbkl (1 657 téléchargements, auteur : kakashi-hatake)
- n8n-nodes-vbmkajdsa-uehfitvv-ueqjhhhksdlkkmz (1 493 téléchargements, auteur : kakashi-hatake)
- n8n-nodes-performance-metrics (752 téléchargements, auteur : hezi109)
- n8n-nodes-gasdhgfuy-rejerw-ytjsadx (8 385 téléchargements, auteur : zabuza-momochi)
- n8n-nodes-danev (5525 téléchargements, auteur : dan_even_segler)
- n8n-nodes-rooyai-model (1 731 téléchargements, auteur : haggags)
- n8n-nodes-zalo-vietts (4241 téléchargements, auteurs : vietts_code et diendh)
Les utilisateurs “zabuza-momochi”, “dan_even_segler” et “diendh” ont également été liés à d'autres bibliothèques qui sont toujours disponibles en téléchargement au moment d'écrire ces lignes.
Il n’est pas clair s’ils hébergent des fonctionnalités malveillantes similaires. Cependant, une évaluation des trois premiers packages ReversingLabs Spectra Assure n'a révélé aucun problème de sécurité. Dans le cas de « n8n-nodes-zl-vietts », l'analyse a signalé que la bibliothèque contient un composant avec un historique de logiciels malveillants.
Fait intéressant, une version mise à jour du package « n8n-nodes-gg-udhasudsh-hgjkhg-official » a été publiée sur npm il y a à peine trois heures, suggérant que la campagne est peut-être en cours.
Le package malveillant, une fois installé en tant que nœud de communauté, se comporte comme toute autre intégration n8n, affichant des écrans de configuration et enregistrant les jetons OAuth du compte Google Ads au format crypté dans le magasin d'informations d'identification n8n. Lorsque le workflow s'exécute, il exécute du code pour déchiffrer les jetons stockés à l'aide de la clé principale n8n et les extrait sur un serveur distant.
C’est la première fois qu’une menace de la chaîne d’approvisionnement cible explicitement l’écosystème n8n, les mauvais acteurs exploitant la confiance dans les intégrations communautaires pour atteindre leurs objectifs.
Les résultats mettent en évidence les problèmes de sécurité qui surviennent lors de l’intégration de flux de travail non fiables, susceptibles d’élargir la surface d’attaque. Les développeurs sont encouragés à auditer les packages avant de les installer, à examiner les métadonnées des packages à la recherche d'anomalies et à utiliser les intégrations officielles n8n.
N8n a également mis en garde contre le risque de sécurité lié à l'utilisation de nœuds de communauté npm, qui, selon lui, peuvent exécuter des actions malveillantes sur la machine sur laquelle le service est exécuté. Sur les instances n8n auto-hébergées, il est recommandé de désactiver les nœuds de communauté en définissant N8N_COMMUNITY_PACKAGES_ENABLED sur false.
“Les nœuds communautaires fonctionnent avec le même niveau d'accès que n8n lui-même. Ils peuvent lire les variables d'environnement, accéder au système de fichiers, effectuer des requêtes réseau sortantes et, plus important encore, recevoir des clés API décryptées et des jetons OAuth pendant l'exécution du flux de travail”, ont déclaré les chercheurs Kiran Raj et Henrik Plate. “Il n'y a pas de bac à sable ni d'isolation entre le code du nœud et le runtime n8n.”
« Pour cette raison, un seul package npm malveillant suffit pour obtenir une visibilité approfondie sur les flux de travail, voler des informations d'identification et communiquer en externe sans éveiller de soupçons immédiats. Pour les attaquants, la chaîne d'approvisionnement npm offre un point d'entrée silencieux et très efficace dans les environnements n8n.