Dossier ultralytics-pypi-cryptominingChaîne d’approvisionnement IAMondial
La bibliothèque d'IA Ultralytics piratée via GitHub Actions pour diffuser un cryptomineur sur PyPI
Une attaque de la chaîne d'approvisionnement visant Ultralytics a exploité GitHub Actions pour injecter des paquets PyPI malveillants utilisés pour le cryptominage.
ÉlevéeAttaque contre l’IAStatut: ContenuDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 4 déc. 2024
- Lieu
- Mondial
- Cible
- Bibliothèque d'IA Ultralytics (utilisateurs PyPI)
- Gravité
- Élevée
- Déclenché par
- Inconnu
- Type d’acteur
- Inconnu
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Une attaque de la chaîne d'approvisionnement visant Ultralytics a exploité GitHub Actions pour injecter des paquets PyPI malveillants utilisés pour le cryptominage.
Impact: Des paquets Ultralytics malveillants ont été publiés sur PyPI pour exécuter des cryptomineurs sur les systèmes qui les installaient ; nombre de victimes non précisé.
Qui l’a déclenché
Acteur: Inconnu
Attribution: Non précisée dans le résumé.
Mobile: Cryptominage
Comment c’est arrivé
Vecteur d’attaque: Exploitation de GitHub Actions pour injecter des paquets malveillants dans la version PyPI de la bibliothèque Ultralytics.
Cause racine: Une faiblesse dans le workflow GitHub Actions du projet a permis l'injection de code malveillant dans les paquets publiés.
Chronologie
- Signalé par Wiz Research
Réponse
Wiz a publié un compte rendu du déroulement de l'attaque et des mesures d'atténuation pour les utilisateurs.
Statut actuel: Contenu
Sources (nouvel onglet)
- Wiz Research wiz.io
Citer ce dossier
La bibliothèque d'IA Ultralytics piratée via GitHub Actions pour diffuser un cryptomineur sur PyPI. AI Threat Watch, dossier ultralytics-pypi-cryptomining, 4 déc. 2024. https://aithreat.io/fr/cases/ultralytics-pypi-cryptomining/
Lien permanent: https://aithreat.io/fr/cases/ultralytics-pypi-cryptomining/