24 packages npm malveillants utilisent des miroirs comme hébergeurs de pages de phishing ClickFix

🔍 Contexte

Publié le 25 août 2026 par l’équipe de recherche OX Security, cet article documente une campagne active de phishing distribuée via le registre npm, exploitant les miroirs publics comme infrastructure d’hébergement malveillant.

🎯 Technique d’attaque

Les attaquants publient des packages npm contenant une unique page HTML simulant une fausse vérification Cloudflare CAPTCHA. L’objectif n’est pas d’infecter les développeurs qui installent le package, mais d’utiliser les miroirs npm (unpkg, yarn, npmmirror, tencent) comme hébergeurs gratuits et de confiance pour des pages de phishing rendues directement dans le navigateur.

Les miroirs exposent les fichiers HTML directement sur leurs serveurs, permettant à n’importe quel utilisateur d’accéder à une page malveillante rendue sur un domaine de confiance.

🔄 Évolution du malware

• Première vague : redirection vers un domaine typosquatté Microsoft — login[.]microsofte[.]live — depuis blacklisté
• Versions ultérieures : utilisation de api.keyval.org (service légitime de stockage clé-valeur) pour récupérer et déchiffrer une URL distante, puis rediriger l’utilisateur
• Actuellement, la redirection pointe vers le site légitime ChatGPT, mais peut être reconfigurée pour délivrer du ClickFix ou tout autre payload de phishing

📦 Packages affectés

24 packages identifiés, publiés entre le 4 et le 24 août 2026, répartis en deux familles :

• Microsoft Typosquat : bgzxcuite2, prezdentkxheiw, egair0810, mnteckets, airdzticket, egypt0811, passport811, vxhjkseuiaqkb, ndmushdkeqe, ndmxchdjxn2, ndmfguyhoxc3, mjsdqwocvn, m2fcsfyjkuxb, m3fdfocdoewn, testdgdbcsd, tesgfvbncsdbcv
• keyval new logic : @worrisome/reutil, mndsxcusiwlk1, mn2adskhweox, mn3sadkoiewu, mn4xcouzvhus, mbxcnsuwgs1, skxcmwuncbg2, mobiwaefhxc3

Chaque package génère entre 50 et 300 téléchargements hebdomadaires avant suppression.

📎 Type d’article

Il s’agit d’une publication de recherche produite par OX Security, visant à documenter une technique d’abus d’infrastructure légitime (supply chain npm + miroirs) pour héberger des pages de phishing de type ClickFix.

🧠 TTPs et IOCs détectés

TTP

• T1583.001 — Acquire Infrastructure: Domains (Resource Development)
• T1608.001 — Stage Capabilities: Upload Malware (Resource Development)
• T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)
• T1566.002 — Phishing: Spearphishing Link (Initial Access)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1204.001 — User Execution: Malicious Link (Execution)

IOC

• Domaines : login.microsofte.live — VT · URLhaus · ThreatFox
• Domaines : api.keyval.org — VT · URLhaus · ThreatFox
• URLs : https://unpkg.com/ndmxchdjxn2@1.0.0/index.html — URLhaus
• Fichiers : index.html

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• ClickFix (other)

🟡 Indice de vérification factuelle : 58/100 (moyenne)

• ⬜ ox.security — source non référencée (0pts)
• ✅ 11944 chars — texte complet (fulltext extrait) (15pts)
• ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 1/3 IOC(s) confirmé(s) (ThreatFox, URLhaus, VirusTotal) (8pts)
• ✅ 6 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• login.microsofte.live (domain) → VT (8/91 détections)

🔗 Source originale : https://www.ox.security/blog/research-clickfix-phishing-npm-packages/