https://cyberveille.ch/tags/npm-download-farm-wasm-worker/ Recent content in Npm Download Farm (WASM Worker) on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 22 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-22-campagne-npm-equation-of-compromise-supply-chain-ciblant-developpeurs-defi-et-quant/ Tue, 22 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-22-campagne-npm-equation-of-compromise-supply-chain-ciblant-developpeurs-defi-et-quant/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 21 septembre 2026 par JFrog Security Research, cet article présente l&rsquo;analyse complète d&rsquo;une campagne de supply-chain npm active depuis mars 2026, baptisée « Equation of Compromise ». La campagne regroupe plusieurs incidents signalés séparément par d&rsquo;autres vendeurs et cible principalement les développeurs quantitatifs et DeFi.</p> <h2 id="-mécanisme-dinfection">🎯 Mécanisme d&rsquo;infection</h2> <p>Le vecteur initial est un <strong>package npm malveillant</strong> (<code>mathsbase</code>) copiant la bibliothèque légitime <code>mathjs</code>. Le package embarque :</p> <ul> <li><code>lib/cjs/utils/event.js</code> : loader <strong>AES-256-GCM</strong></li> <li><code>lib/cjs/utils/graph.js</code> : orchestrateur (stage 2, base64 chiffré)</li> <li><code>lib/cjs/utils/fraction.js</code> : agent Slack (stage 3, base64 chiffré)</li> <li><code>lib/cjs/utils/bignumber/type.js</code> : copie bundlée d&rsquo;<strong>ethers.js v5.7.2</strong> (~1,5 MB)</li> </ul> <p>Le déclencheur est <strong>cryptographiquement conditionnel</strong> : le payload ne se déchiffre que si la victime appelle <code>math.lusolve()</code> avec la <strong>matrice de Pascal 3×3 symétrique</strong> <code>[[1,1,1],[1,2,3],[1,3,6]]</code>. Le facteur LU de cette matrice sert de mot de passe pour dériver la clé AES via <code>scryptSync</code>. Toute autre matrice échoue à l&rsquo;authentification GCM sans erreur visible.</p>