Plus de 1 300 paquets contaminés dans NPM : Shai-Hulud « de retour » avec ChainDrop
Un « nouveau » malware s’est propagé dans des centaines de paquets sur npm, dont plusieurs très populaires. Il s’agit une nouvelle fois d’une attaque contre la chaine d’approvisionnement ayant réussi à contourner toutes les mesures de sécurité.
En août 2026, une nouvelle cyberattaque nommée ChainDrop a contaminé plus de 1 300 paquets logiciels sur la plateforme NPM, un gestionnaire de bibliothèques de code utilisé par des millions de développeurs. Cette attaque reprend les méthodes d’un précédent malware, Shai-Hulud (inspiré du ver des sables de l’univers Dune), qui avait déjà frappé en septembre 2025. ChainDrop est un logiciel malveillant auto-répliquant, conçu pour voler des informations et se propager rapidement. Contrairement à une attaque classique qui cible des comptes utilisateurs, les pirates ont directement injecté des fichiers infectés dans la branche principale des dépôts légitimes, puis ont publié des versions contaminées de ces paquets. Ces versions étaient signées par GitHub Actions, un outil d’automatisation, ce qui a trompé les contrôles de sécurité de NPM. Les pirates ont ainsi exploité une faille dans la chaîne de validation des paquets.
Parmi les 1 381 versions contaminées, 868 paquets distincts ont été touchés, cumulant en moyenne deux milliards de téléchargements par mois. L’un des paquets les plus impactés est keyv, maintenu par Jared Wray, avec plus de 600 millions de téléchargements mensuels. D’autres bibliothèques populaires comme flat-cache, file-entry-cache, cacheable-request, cacheable et cache-manager ont également été infectées. Ces paquets sont spécialisés dans la gestion des caches, des mécanismes qui accélèrent l’accès aux données dans les applications. Leur contamination a permis au malware de se propager à des entreprises majeures comme Deliveroo, Ornikar, OneReach, Picsart, Qlik et ServiceTitan, illustrant l’ampleur des risques liés à ces attaques.
Le malware ChainDrop utilise un composant appelé dropper (setup.mjs), un programme chargé d’installer et d’exécuter la charge utile malveillante sur les systèmes infectés. Ce dropper est fortement obfusqué, c’est-à-dire qu’il est écrit de manière complexe pour échapper à la détection. Il récupère ensuite Bun, un runtime JavaScript (un environnement d’exécution pour JavaScript, similaire à Node.js), depuis un dépôt officiel sur GitHub. Une fois installé, le dropper exécute la charge utile, qui peut voler des données, installer des logiciels supplémentaires ou prendre le contrôle du système. Ce mécanisme permet au malware de persister et de se propager discrètement.
L’attaque a commencé par la compromission du compte du mainteneur du paquet keyv, Jared Wray. Une fois ce compte pris pour cible, les pirates ont modifié directement la branche principale du dépôt, y compris les fichiers de configuration et de code source. Ils ont ensuite publié des versions contaminées des paquets, qui ont été automatiquement validées par les processus de GitHub Actions. Les contrôles de provenance de NPM, censés garantir l’authenticité des paquets, n’ont pas détecté la fraude car les versions infectées semblaient légitimes. Cette méthode montre comment des attaques ciblent les chaînes de confiance dans le développement logiciel.
La contamination de ces paquets a eu un impact significatif, car ils sont largement utilisés dans l’industrie. Les entreprises touchées, comme Deliveroo ou Qlik, ont potentiellement exposé des données sensibles ou subi des perturbations opérationnelles. Cette attaque rappelle celle de septembre 2025, où *Shai-Hulud* avait déjà causé des dégâts similaires. Malgré les leçons tirées de cette première vague, les pirates ont adapté leurs méthodes pour contourner les mesures de sécurité mises en place. Les chercheurs de l’entreprise de sécurité *Aikido* ont analysé *ChainDrop* et publié un rapport détaillé le 4 août 2026, mettant en lumière les techniques utilisées et les risques persistants dans l’écosystème NPM.
