Pour bien comprendre les risques posés par le ver Shai-Hulud, j’ai appliqué deux méthodologies de modélisation majeures : STRIDE et PASTA.
📢 Dans cette série : “L’anatomie du ver Shai-Hulud”
- Introduction et enjeux
- Scénario d’attaque : du phishing à la destruction
- Modélisation des menaces : STRIDE & PASTA
- Best Practices et remédiation
Analyse STRIDE
Cette méthode identifie les types de menaces pesant sur la stack technique.
| 🏷️ Catégorie | ⚔️ Description dans le contexte Shai-Hulud |
|---|---|
| 👤 Spoofing | Un paquet malveillant usurpe l’identité d’une dépendance interne sur Artifactory. |
| ✏️ Tampering | Modification silencieuse des fichiers package.json et injection de scripts malveillants. |
| 🧾 Repudiation | Le ver utilise des tokens légitimes volés pour publier, rendant l’attaquant intraçable. |
| 🔓 Info Disclosure | Vol massif de tokens NPM, clés SSH et secrets Jenkins. |
| 🚫 Denial of Service | Peut corrompre les builds et bloquer la CI/CD via le mécanisme destructif. |
| 📈 Elevation of Privilege | Exécution de code arbitraire via les privilèges de l’agent Jenkins. |
Analyse PASTA (Process for Attack Simulation and Threat Analysis)
PASTA est une méthodologie en 7 étapes qui évalue les menaces du point de vue du business. Voici son application au cas Shai-Hulud :
Étape 4 : Analyse des Menaces
| 🏹 Vecteur d’Attaque | 📉 Probabilité | 💼 Impact Business |
|---|---|---|
| 📧 Phishing MFA npm | Élevée | Compromission initiale du compte développeur |
| ⌨️ Typosquatting | Moyenne | Installation d’un paquet malveillant |
| 👯 Dependency Confusion | Élevée | Injection de paquet malveillant dans Artifactory |
| ⚡ Exécution pre-install | Critique | Bypass des contrôles de sécurité |
| 🔑 Vol de tokens npm | Critique | Propagation automatique du ver |
| 📤 Exfiltration via GitHub | Élevée | Exposition publique des secrets |
Étape 7 : Analyse des Risques et Impact
| 🚩 Risque | 💥 Impact Business | 💶 Coût Estimé | 📉 Probabilité |
|---|---|---|---|
| Perte de PI | Code source exposé publiquement | 5-10M€ | Élevée |
| Fuite Données Client | Violation RGPD, perte de confiance | 10-50M€ | Moyenne |
| Arrêt de Production | Impossibilité de déployer | 500K€/jour | Élevée |
| Dégâts Réputation | Perte de clients, impact médiatique | Inestimable | Critique |
Conclusion PASTA : Le risque Shai-Hulud est classé CRITIQUE et nécessite une action immédiate.
Synthèse des Risques Identifiés
| 🚩 Risque | 📊 Niveau | 💥 Impact Principal |
|---|---|---|
| Bypass Sécurité (Pre-install) | Critique | Compromission garantie des serveurs CI/CD |
| Vol de Tokens (npm/GitHub) | Critique | Propagation automatique du ver |
| Dégâts Réputation | Critique | Perte de confiance clients, impact médiatique |
| Phishing MFA npm | Élevée | Point d’entrée initial de l’attaque |
| Dependency Confusion | Élevée | Injection dans Artifactory |
| Perte de PI | Élevée | Exposition publique du code source (5-10M€) |
| Arrêt de Production | Élevée | Décontamination (500K€/jour) |
| Fuite Données Client | Moyenne | Violation RGPD (10-50M€) |
| Typosquatting | Moyenne | Installation de paquets malveillants |
Dans le dernier article de cette série, nous verrons les mesures concrètes de protection à appliquer.