Npm

🔍 Contexte Source : SafeDep (safedep.io), publié le 3 novembre 2026 par Kunal Singh. L’article documente une attaque de supply chain ciblant le dépôt GitHub antd-img-crop, un composant Ant Design utilisé pour le recadrage d’images avec environ 98 000 téléchargements npm hebdomadaires. 💥 Vecteur d’attaque initial Le 31 octobre 2026 à 15h12 UTC, un attaquant a effectué un force-push depuis le compte du mainteneur compromis pour injecter le commit malveillant 2aa8504. Ce commit est une reconstruction du commit légitime 4.30.0 (daté du 12 mars), conservant le même auteur, date et message, rendant la détection difficile. ...

🔍 Contexte Publié le 29 septembre 2026 par SafeDep (safedep.io), cet article présente une analyse technique détaillée d’une campagne de supply chain nommée DirtyBlanket. Neuf packages npm malveillants ont été publiés le même jour entre 06:05 et 06:38 UTC par le compte npm dirtyblanket. 📦 Packages malveillants Les neuf packages imitent des bibliothèques populaires : Express : xeprews, express-javascript, express-nodejs, exprdd, exprrdd, exptrdd, exptred, exptredd (version 5.2.1) React : react-nodejs (version 19.3.0) Tous partagent le même hook preinstall qui télécharge un script via l’Internet Archive (Wayback Machine) pour contourner les listes blanches réseau. ...

📅 Source : BleepingComputer, publié le 26 septembre 2026. Cet article rapporte une réactivation accidentelle de deux GitHub Actions malveillants, initialement compromis en mai 2026 dans le cadre de la campagne Mini Shai-Hulud. 🔍 Contexte de la compromission initiale Le 18 mai 2026, les actions actions-cool/issues-helper et actions-cool/maintain-one-comment ont été compromises dans le cadre de l’attaque Mini Shai-Hulud, une attaque de la chaîne d’approvisionnement ayant infecté 323 packages et 639 versions de packages sur le registre npm. Le malware ciblait les tokens, credentials et secrets CI/CD des développeurs. L’équipe de sécurité GitHub avait alors supprimé ces actions. ...

🗓️ Contexte Source : BleepingComputer, publié le 26 septembre 2026. L’article rapporte une réactivation accidentelle de deux GitHub Actions précédemment compromis lors de la campagne Mini Shai-Hulud, découverte et signalée par les chercheurs de la société Socket. 🔍 Incident initial (mai 2026) Le 18 mai 2026, les actions actions-cool/issues-helper et actions-cool/maintain-one-comment ont été compromises dans le cadre de la campagne Mini Shai-Hulud, une attaque de chaîne d’approvisionnement ayant affecté : 323 packages et 639 versions de packages sur l’index npm Ciblant les tokens, credentials et secrets CI/CD des développeurs L’équipe de sécurité GitHub avait alors supprimé ces actions pour bloquer tout téléchargement de malware en aval. ...

🔍 Contexte Le 23 septembre 2026, SafeDep publie une analyse technique détaillée d’une attaque de type supply chain ciblant deux packages open source du projet MemTensor. L’attaque a été détectée via un signalement communautaire (issue #173) sur le dépôt GitHub du plugin OpenClaw. 🎯 Packages compromis npm : @memtensor/memos-cloud-openclaw-plugin — versions malveillantes 0.1.21, 0.1.23, 0.1.25 PyPI : MemoryOS — version malveillante 2.0.34 Les deux packages contiennent le même implant Go nommé sckit, compilé pour six plateformes (linux/darwin/windows × amd64/arm64). ...

🔍 Contexte Analyse publiée par Checkmarx Zero le 17 septembre 2026, portant sur une campagne de supply chain npm active ciblant les développeurs JavaScript via un paquet malveillant nommé indexed-btree, qui imite le paquet légitime sorted-btree. 🎯 Technique d’attaque principale Contrairement aux attaques classiques, ce paquet n’utilise aucun script preinstall/postinstall. Le code malveillant est dissimulé directement dans la méthode prototype BTree.prototype.set, déclenchée lors de l’utilisation normale de la bibliothèque. Cette approche contourne les restrictions introduites par npm v12 sur les lifecycle scripts. ...

🔍 Contexte Publié le 15 septembre 2026 par CrowdStrike Counter Adversary Operations, cet article présente l’analyse technique et le profil d’un acteur de menace financièrement motivé ayant développé et distribué un infostealer JavaScript nommé PhantomRaven via la plateforme npm. 🎭 Profil de l’acteur L’acteur, actif depuis novembre 2022, se présente comme un bug bounty hunter et a collecté des primes auprès d’au moins neuf entités dans les secteurs technologique, retail et hôtellerie via des plateformes comme Bugcrowd, Intigriti, YesWeHack, HackenProof et HackerOne. Il opère sous plusieurs pseudonymes npm incluant jpdhellonpm1, jpd15, jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11, packagedharsh. L’adresse email jpdtester01@gmail.com lui est associée. ...

📅 Source : Aikido Security (blog.aikido.dev), publié le 7 septembre 2026 par Charlie Eriksen. Contexte Le 19 mai 2026, une attaque de chaîne d’approvisionnement baptisée Shai-Hulud avait compromis des comptes mainteneurs npm pour publier 639 versions malveillantes de packages @antv en l’espace d’une heure. Le payload avait été rapidement analysé et fingerprinted par la communauté de sécurité npm. Réactivation après 111 jours Le 7 septembre 2026, quatre nouveaux packages npm ont été publiés par le même compte npm, portant le hash SHA256 identique (e37e3ddeeaaa9e0c4fdbcb829b4895a6521031c80053fc436625b61e6ee5b1a6) au payload original : ...

🔍 Contexte Publié le 1er septembre 2026 par Kunal Singh sur le blog de SafeDep, cet article présente une analyse technique approfondie d’une chaîne de livraison de malware via l’écosystème npm, détectée en juin 2026 et référencée sous l’advisory MAL-2026-6672. 🎯 Mécanisme d’attaque : une chaîne de dépendances transitives L’attaque repose sur trois packages npm imbriqués : ioredis-xyz (Layer 1) : typosquat de ioredis, un client Redis légitime. La version 5.11.2 ajoute redis-type-xyz comme dépendance inutilisée. redis-type-xyz (Layer 2) : typosquat de Redis OM, sans code exécutable. La version 1.10.6 ajoute ulid-xyz comme dépendance. ulid-xyz (Layer 3) : typosquat de ulidx, contient le payload malveillant de 467 Ko déclenché via un script postinstall. Le payload n’était pas présent lors de la publication initiale d’ioredis-xyz : il a été injecté 19 minutes plus tard via la mise à jour d’une dépendance transitive, rendant la détection initiale impossible. ...

🔍 Contexte Analyse publiée le 27 août 2026 par la CyberProof Research Team, basée sur une découverte initiale de Microsoft Threat Intelligence en juillet 2026. L’incident concerne une compromission de la chaîne d’approvisionnement logicielle ciblant l’organisation NPM officielle AsyncAPI. 🎯 Nature de l’attaque Des acteurs malveillants ont obtenu un accès non autorisé au pipeline de publication AsyncAPI, republiant des packages légitimes embarquant des hooks de cycle de vie malveillants. Lors de l’exécution de workflows de build standards, les outils comme npx récupéraient automatiquement la chaîne de dépendances compromise. ...