Compromission de la chaîne d'approvisionnement AsyncAPI via des packages NPM malveillants

Fri, 28 Aug 2026 00:00:00 +0200

🔍 Contexte

Analyse publiée le 27 août 2026 par la CyberProof Research Team, basée sur une découverte initiale de Microsoft Threat Intelligence en juillet 2026. L’incident concerne une compromission de la chaîne d’approvisionnement logicielle ciblant l’organisation NPM officielle AsyncAPI.

🎯 Nature de l’attaque

Des acteurs malveillants ont obtenu un accès non autorisé au pipeline de publication AsyncAPI, republiant des packages légitimes embarquant des hooks de cycle de vie malveillants. Lors de l’exécution de workflows de build standards, les outils comme npx récupéraient automatiquement la chaîne de dépendances compromise.

Preinstall.js Dropper on CyberVeille

Compromission de la chaîne d'approvisionnement AsyncAPI via des packages NPM malveillants

🔍 Contexte

🎯 Nature de l’attaque