Npm

Selon ReversingLabs, des chercheurs ont découvert deux paquets npm malveillants — colortoolsv2 et mimelib2 — intégrés à une campagne sophistiquée de supply chain ciblant des développeurs de cryptomonnaies. La campagne combine livraison de malware via blockchain et manipulation sociale sur GitHub pour paraître légitime. Le code JavaScript des paquets est fortement obfusqué et interroge un smart contract Ethereum afin d’obtenir des URLs pointant vers un malware de seconde étape. Le contrat 0x1f117a1b07c108eae05a5bccbe86922d66227e2b héberge les commandes malveillantes, ce qui permet d’éviter la détection basée sur des URLs codées en dur. Le payload de seconde étape (SHA1: 021d0eef8f457eb2a9f9fb2260dd2e391f009a21) agit comme téléchargeur de composants additionnels. ...

Source: Socket (équipe de recherche). Le billet détaille une campagne où un paquet npm, nodejs-smtp, usurpe le populaire Nodemailer et implante un code dans des portefeuilles crypto de bureau sous Windows afin de détourner des transactions vers des adresses contrôlées par l’attaquant. 🚨 Le paquet nodejs-smtp se fait passer pour un mailer légitime et reste fonctionnel, exposant une interface compatible avec Nodemailer. Sur simple import, il abuse des outils Electron pour décompresser l’archive app.asar d’Atomic Wallet, remplacer un bundle fournisseur par une charge utile malveillante, reconditionner l’application et supprimer ses traces. Dans le runtime du wallet, le code injecté remplace silencieusement l’adresse du destinataire par des portefeuilles de l’attaquant, redirigeant des transactions en BTC, ETH, USDT (ERC20 et TRX USDT), XRP et SOL. La modification persiste jusqu’à réinstallation depuis la source officielle. ...

Selon Wiz (blog), une attaque de supply chain a touché le 26 août 2025 le système de build Nx sur npm via des versions malveillantes contenant un malware post-install. Le code a collecté des actifs sensibles (wallets crypto, tokens GitHub/npm, clés SSH, fichiers .env, etc.) et a exfiltré ces données vers des dépôts publics créés au sein des comptes GitHub des victimes (s1ngularity-repository). GitHub a désactivé ces dépôts le 27 août à 9h UTC, mais la fenêtre d’exposition (~8h) a permis des téléchargements par les attaquants et d’autres acteurs. ...

StepSecurity publie une alerte détaillée sur la compromission du package Nx sur npm fin août 2025, confirmée par l’avis GHSA-cxm3-wv7p-598c, avec un vecteur d’attaque lié à des workflows GitHub vulnérables et une exfiltration de secrets à grande échelle. 🚨 Entre 22:32 UTC le 26/08 et ~03:52 UTC le 27/08, huit versions malveillantes de Nx ont été publiées puis retirées (~5h20 d’attaque). Le malware exécuté en post-install (telemetry.js) a visé des systèmes non-Windows et a exfiltré des secrets (clés SSH, tokens npm/GitHub, .gitconfig, .env, portefeuilles crypto). Fait inédit, il a « instrumenté » des CLIs d’IA (Claude, Gemini, Q) avec des drapeaux permissifs pour lister des chemins sensibles. L’exfiltration publiait un dépôt GitHub public s1ngularity-repository contenant results.b64 (triple base64) via des tokens GitHub volés. Des mécanismes de persistance/sabotage ajoutaient sudo shutdown -h 0 dans ~/.bashrc et ~/.zshrc. ...

Selon Truesec, deux attaques de chaîne d’approvisionnement distinctes ont visé l’écosystème npm, entraînant la publication de versions malveillantes de paquets populaires contenant le malware JavaScript Scavenger Stealer. • Première attaque: campagnes de spear phishing utilisant des domaines typosquattés (npnjs.com au lieu de npmjs.com) pour collecter les identifiants de mainteneurs et pousser des paquets compromis. • Seconde attaque: compromission directe de l’organisation GitHub de Toptal, permettant la publication de paquets npm malveillants sans commits de code source visibles. ...

Selon la référence fournie (Socket.dev, blog), npm lance « Trusted Publishing » basé sur OpenID Connect (OIDC) pour tous les utilisateurs, afin de sécuriser la publication de packages JavaScript dans un contexte de récentes attaques de supply chain ayant exploité des tokens de mainteneurs compromis. 🔐 Points clés: Passage à des identifiants éphémères et cryptographiquement sécurisés qui expirent après chaque publication, évitant les tokens longue durée en CI/CD. Génération automatique d’attestations de provenance (preuve cryptographique de l’identité du publieur et des métadonnées d’environnement de build) sans nécessiter l’option --provenance. Objectif: réduire les risques d’attaques de la chaîne d’approvisionnement liés au vol/abus de secrets dans les pipelines. 🧰 Intégration et prérequis: ...

Selon BleepingComputer, deux paquets NPM malveillants présentés comme des outils de développement pour WhatsApp ont été découverts avec un code destructeur capable d’effacer des données sur les postes des développeurs. ⚠️ Les paquets usurpent l’identité d’outils liés à WhatsApp et contiennent un code de type wiper qui supprime récursivement les fichiers. L’objectif apparent est la destruction de données sur les environnements de développement. Impact: les machines des développeurs qui installent ces paquets sont exposées à une perte de données significative du fait de la suppression en profondeur des fichiers. ...

L’analyse du deuxième trimestre 2025 par FortiGuard Labs met en lumière les risques significatifs de sécurité de la chaîne d’approvisionnement posés par des paquets malveillants dans les dépôts open source. Les chercheurs ont analysé plus de 1,4 million de paquets NPM et 400 000 paquets PyPI, identifiant des schémas d’attaque persistants tels que l’exfiltration de données, le vol d’identifiants et le ciblage de portefeuilles de cryptomonnaies. Les acteurs malveillants utilisent des tactiques constantes, y compris la réduction du nombre de fichiers, l’utilisation de scripts d’installation et des techniques d’obfuscation. ...

Bleeping Computer rapporte que le package NPM populaire nommé ‘is’ a été victime d’une attaque de la chaîne d’approvisionnement. Cette attaque a permis l’injection d’un malware avec une porte dérobée, offrant aux attaquants un accès complet aux appareils compromis. Le package ‘is’, largement utilisé dans de nombreux projets, a été modifié pour inclure un code malveillant. Ce type d’attaque est particulièrement préoccupant car il touche la chaîne d’approvisionnement logicielle, rendant potentiellement vulnérables tous les projets et systèmes utilisant ce package. ...

L’article de bleepingcomputer.com rapporte un incident survenu sur npm, la plus grande plateforme de registre de logiciels pour JavaScript et Node.js, où le package Stylus a été accidentellement retiré. Stylus, une bibliothèque légitime largement utilisée avec 3 millions de téléchargements hebdomadaires, a été remplacée par une page de “sécurité en attente”, une mesure habituellement réservée aux packages malveillants. Ce retrait a causé des interruptions dans les pipelines et les builds à travers le monde qui dépendent de Stylus. ...