Dependency Combobulator est un ensemble d'outils open source permettant de lutter contre les attaques par confusion/substitution de dépendances. Ces attaques exploitent un dépôt de projets logiciels, public ou privé, pour tromper le gestionnaire de paquets et y insérer des paquets qui apparaissent comme des dépendances, mais qui sont en réalité destinés à mener une attaque.
Apiiro a lancé Dependency Combobulator précisément pour lutter contre ce problème. Il s'agit d'une boîte à outils capable de détecter et de prévenir ces attaques . Ces attaques, découvertes récemment, sont devenues un vecteur d'attaque de plus en plus fréquent. En d'autres termes, cette boîte à outils vous permet d'éviter ces arnaques aux dépendances qui aboutissent à l'installation de paquets malveillants (au lieu de la dépendance requise par le gestionnaire de paquets).
Dans ces cas-là, les utilisateurs ne sont pas conscients du problème et font confiance au gestionnaire de paquets qui automatise la gestion des dépendances . Or, ils pourraient autoriser, sans le savoir, l'exécution de code malveillant. C'est là que Dependency Combobulator prend tout son sens : il permet d'évaluer différentes sources comme GitHub, JFrog Artifactory, et bien d'autres.
Cet outil, développé en Python, utilise un moteur heuristique fonctionnant selon un modèle de paquetage abstrait, ce qui facilite son extensibilité. Outre sa flexibilité, il aide les professionnels de la sécurité à prendre de meilleures décisions. Son intégration est simple et son lancement automatique.
« Suite à la décision du chercheur en sécurité Alex Birsan de compromettre les écosystèmes d'Apple, de Microsoft et de PayPal en début d'année, le secteur a connu une recrudescence d' attaques similaires ciblant les chaînes d'approvisionnement », a déclaré Moshe Zioni, vice-président de la recherche en sécurité chez Apiiro. « Nous avons réagi rapidement en créant une suite d'outils capable d'atténuer ces menaces et suffisamment flexible et extensible pour contrer les futures vagues d'attaques par confusion de dépendances. Il est essentiel pour les entreprises de s'attaquer à ce vecteur d'attaque afin de sécuriser efficacement leurs chaînes d'approvisionnement logicielles . »