Plus de 1 300 paquets contaminés dans NPM : Shai-Hulud « de retour » avec ChainDrop
L’attaque en chaîne contre l’écosystème NPM, menée via le malware ChainDrop, révèle une évolution inquiétante des menaces sur les chaînes d’approvisionnement logicielles. En exploitant des mécanismes de compromission de comptes mainteneurs et des contournements des contrôles de provenance, les attaquants ont réussi à diffuser des paquets malveillants à grande échelle, touchant des millions de téléchargements mensuels. Cette opération, qui s’inscrit dans la lignée de l’attaque Shai-Hulud de 2025, interroge la résilience des plateformes de gestion de dépendances face à des attaques de plus en plus sophistiquées et ciblées.
Comment ChainDrop a-t-il réussi à contaminer plus de 1 300 paquets sur NPM malgré les mesures de sécurité renforcées après l’attaque Shai-Hulud ?
Les attaquants ont compromis directement le compte du mainteneur du paquet keyv, puis ont injecté des fichiers malveillants sur la branche principale des dépôts avant de publier des versions contaminées. Les contrôles de provenance de NPM, qui vérifient la légitimité des paquets via des signatures GitHub Actions, ont été contournés car les versions vérolées étaient signées par des flux légitimes détournés, rendant la détection impossible.
Quels sont les mécanismes techniques clés utilisés par ChainDrop pour propager sa charge malveillante ?
Le malware repose sur un dropper nommé setup.mjs, fortement obfusqué, qui télécharge le runtime JavaScript Bun depuis un dépôt GitHub officiel. Ce dropper sert de vecteur pour installer et exécuter une charge utile malveillante, avec des fonctionnalités de persistance et d’exécution en mémoire, typiques des attaques de supply chain.
Quelles entreprises ont été touchées par cette attaque, et quel est l’impact concret de cette contamination ?
Des entreprises comme Deliveroo, Ornikar, OneReach, Picsart, Qlik ou ServiceTitan ont été exposées via des dépendances contaminées. L’impact est majeur, car les paquets ciblés (comme keyv, flat-cache, ou cache-manager) cumulent en moyenne deux milliards de téléchargements par mois, avec keyv seul représentant plus de 600 millions de téléchargements mensuels.
Ce que ça pourrait changer
Cette attaque illustre la vulnérabilité persistante des écosystèmes logiciels face à des menaces qui combinent ingénierie sociale, contournement des contrôles et automatisation. Elle pourrait accélérer l’adoption de mesures de sécurité plus strictes, comme des revues de code systématiques ou des sandboxing des dépendances, mais aussi renforcer la méfiance des entreprises envers les bibliothèques tierces. À plus long terme, cela pourrait inciter les plateformes comme NPM à repenser leur modèle de confiance, notamment en limitant les droits des mainteneurs ou en imposant des audits indépendants.
