Plus de 1 300 paquets contaminés dans NPM : Shai-Hulud « de retour » avec ChainDrop

En août 2026, une nouvelle cyberattaque nommée ChainDrop a contaminé plus de 1 300 paquets logiciels sur la plateforme NPM, un gestionnaire de bibliothèques de code utilisé par des millions de développeurs.

Cette attaque reprend les méthodes d’un précédent malware, Shai-Hulud (inspiré du ver des sables de l’univers Dune), qui avait déjà frappé en septembre 2025.

ChainDrop est un logiciel malveillant auto-répliquant, conçu pour voler des informations et se propager rapidement.

Contrairement à une attaque classique qui cible des comptes utilisateurs, les pirates ont directement injecté des fichiers infectés dans la branche principale des dépôts légitimes, puis ont publié des versions contaminées de ces paquets.

Ces versions étaient signées par GitHub Actions, un outil d’automatisation, ce qui a trompé les contrôles de sécurité de NPM.

Les pirates ont ainsi exploité une faille dans la chaîne de validation des paquets.