Npm

🔍 Contexte Analyse publiée par Checkmarx Zero le 17 septembre 2026, portant sur une campagne de supply chain npm active ciblant les développeurs JavaScript via un paquet malveillant nommé indexed-btree, qui imite le paquet légitime sorted-btree. 🎯 Technique d’attaque principale Contrairement aux attaques classiques, ce paquet n’utilise aucun script preinstall/postinstall. Le code malveillant est dissimulé directement dans la méthode prototype BTree.prototype.set, déclenchée lors de l’utilisation normale de la bibliothèque. Cette approche contourne les restrictions introduites par npm v12 sur les lifecycle scripts. ...

🔍 Contexte Publié le 15 septembre 2026 par CrowdStrike Counter Adversary Operations, cet article présente l’analyse technique et le profil d’un acteur de menace financièrement motivé ayant développé et distribué un infostealer JavaScript nommé PhantomRaven via la plateforme npm. 🎭 Profil de l’acteur L’acteur, actif depuis novembre 2022, se présente comme un bug bounty hunter et a collecté des primes auprès d’au moins neuf entités dans les secteurs technologique, retail et hôtellerie via des plateformes comme Bugcrowd, Intigriti, YesWeHack, HackenProof et HackerOne. Il opère sous plusieurs pseudonymes npm incluant jpdhellonpm1, jpd15, jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11, packagedharsh. L’adresse email jpdtester01@gmail.com lui est associée. ...

📅 Source : Aikido Security (blog.aikido.dev), publié le 7 septembre 2026 par Charlie Eriksen. Contexte Le 19 mai 2026, une attaque de chaîne d’approvisionnement baptisée Shai-Hulud avait compromis des comptes mainteneurs npm pour publier 639 versions malveillantes de packages @antv en l’espace d’une heure. Le payload avait été rapidement analysé et fingerprinted par la communauté de sécurité npm. Réactivation après 111 jours Le 7 septembre 2026, quatre nouveaux packages npm ont été publiés par le même compte npm, portant le hash SHA256 identique (e37e3ddeeaaa9e0c4fdbcb829b4895a6521031c80053fc436625b61e6ee5b1a6) au payload original : ...

🔍 Contexte Publié le 1er septembre 2026 par Kunal Singh sur le blog de SafeDep, cet article présente une analyse technique approfondie d’une chaîne de livraison de malware via l’écosystème npm, détectée en juin 2026 et référencée sous l’advisory MAL-2026-6672. 🎯 Mécanisme d’attaque : une chaîne de dépendances transitives L’attaque repose sur trois packages npm imbriqués : ioredis-xyz (Layer 1) : typosquat de ioredis, un client Redis légitime. La version 5.11.2 ajoute redis-type-xyz comme dépendance inutilisée. redis-type-xyz (Layer 2) : typosquat de Redis OM, sans code exécutable. La version 1.10.6 ajoute ulid-xyz comme dépendance. ulid-xyz (Layer 3) : typosquat de ulidx, contient le payload malveillant de 467 Ko déclenché via un script postinstall. Le payload n’était pas présent lors de la publication initiale d’ioredis-xyz : il a été injecté 19 minutes plus tard via la mise à jour d’une dépendance transitive, rendant la détection initiale impossible. ...

🔍 Contexte Analyse publiée le 27 août 2026 par la CyberProof Research Team, basée sur une découverte initiale de Microsoft Threat Intelligence en juillet 2026. L’incident concerne une compromission de la chaîne d’approvisionnement logicielle ciblant l’organisation NPM officielle AsyncAPI. 🎯 Nature de l’attaque Des acteurs malveillants ont obtenu un accès non autorisé au pipeline de publication AsyncAPI, republiant des packages légitimes embarquant des hooks de cycle de vie malveillants. Lors de l’exécution de workflows de build standards, les outils comme npx récupéraient automatiquement la chaîne de dépendances compromise. ...

🔍 Contexte Publié le 25 août 2026 par l’équipe de recherche OX Security, cet article documente une campagne active de phishing distribuée via le registre npm, exploitant les miroirs publics comme infrastructure d’hébergement malveillant. 🎯 Technique d’attaque Les attaquants publient des packages npm contenant une unique page HTML simulant une fausse vérification Cloudflare CAPTCHA. L’objectif n’est pas d’infecter les développeurs qui installent le package, mais d’utiliser les miroirs npm (unpkg, yarn, npmmirror, tencent) comme hébergeurs gratuits et de confiance pour des pages de phishing rendues directement dans le navigateur. ...

📰 Source : SafeDep (safedep.io) — Date : 10 août 2026 — Contexte : Analyse technique d’une campagne de supply chain malveillante ciblant l’écosystème npm via des forks de Baileys, une bibliothèque Node.js populaire pour WhatsApp Web. 🎯 Nature de la campagne Des acteurs indépendants ont publié des forks malveillants de Baileys sur npm, ciblant les développeurs qui construisent des bots WhatsApp. Ces packages exploitent la session WhatsApp authentifiée de l’installateur pour effectuer des actions non consenties. Il ne s’agit pas de vol de credentials statiques, mais d’abus de session active. ...

🔍 Contexte Le 4 août 2026, l’équipe de recherche Socket a publié une analyse d’une attaque supply chain active ciblant les packages npm keyv et cacheable, deux familles de bibliothèques de stockage clé-valeur et de cache très répandues, totalisant des dizaines de millions de téléchargements hebdomadaires. 🎯 Vecteur d’attaque Le compte maintainer Jaredwray a été compromis et utilisé pour publier des versions malveillantes. La première version malveillante, keyv@6.0.0, a été publiée à 09h35 UTC. Au moins dix packages ont été affectés, dont certains en dehors des namespaces keyv et cacheable (ex: @thiennq/docs-viewer@1.6.2). La compromission repose sur un hook preinstall (setup.mjs) ajouté au package.json. ...

🔍 Contexte Publié le 7 août 2026 par l’équipe OpenSourceMalware (opensourcemalware.com), cet article présente une analyse technique approfondie d’une campagne de supply chain ciblant l’écosystème npm. En 48 heures, un acteur a publié plus de 700 paquets malveillants (788 confirmés) en utilisant des noms générés par IA ou par typosquatting. 🎯 Vecteur d’infection Le paquet analysé, checkout-mobile-bnpl@35.6.9, se présente comme un SDK mobile BNPL. Il ne nécessite aucun script d’installation (preinstall/postinstall) : le simple appel require() suffit à déclencher la chaîne d’infection via le fichier _helpers.js. ...

🔍 Contexte Source : StepSecurity (blog officiel), publié le 4 août 2026. L’alerte est issue du StepSecurity OSS Security Feed qui a détecté une vague de publications malveillantes entre 09h30 et 11h30 UTC le 4 août 2026. L’investigation est déclarée active au moment de la publication. 🪱 Nature de la menace ChainDrop est un ver auto-propagant ciblant l’écosystème npm. Il publie des versions compromises de packages légitimes en utilisant des credentials/tokens de mainteneurs volés. La vitesse de propagation et la diversité des scopes de mainteneurs touchés confirment une automatisation de type worm. ...