{"id":139659,"date":"2025-07-21T11:12:05","date_gmt":"2025-07-21T09:12:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami"},"modified":"2025-07-21T11:12:05","modified_gmt":"2025-07-21T09:12:05","slug":"fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","title":{"rendered":"Le phishing a permis de prendre le contr\u00f4le de plusieurs paquets NPM populaires","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une attaque de phishing a \u00e9t\u00e9 constat\u00e9e contre les biblioth\u00e8ques JavaScript, au cours de laquelle un message, pr\u00e9tendument envoy\u00e9 par le service NPM, a \u00e9t\u00e9 diffus\u00e9, demandant de confirmer son adresse e-mail. Cette attaque a permis aux cybercriminels d'obtenir les jetons NPM d'un des grands projets JavaScript et de publier des mises \u00e0 jour avec du code malveillant pour cinq paquets NPM, totalisant environ 100 millions de t\u00e9l\u00e9chargements par semaine. <\/p>\n
Le message envoy\u00e9 par l'exp\u00e9diteur a \u00e9t\u00e9 stylis\u00e9 de mani\u00e8re \u00e0 ressembler \u00e0 des notifications standard de NPM, envoy\u00e9es depuis l'adresse \u00ab support@npmjs.org \u00bb, mais le domaine utilis\u00e9 pour le lien \u00e9tait \u00ab npnjs.com \u00bb au lieu de \u00ab npmjs.com \u00bb (la troisi\u00e8me lettre \u00ab n \u00bb au lieu de \u00ab m \u00bb). Les attaquants ont tir\u00e9 parti de l'effet psychologique, selon lequel le cerveau, anticipant le r\u00e9sultat attendu, ne remarque pas de l\u00e9g\u00e8res distorsions, telles que le remplacement de lettres par des lettres similaires ou le changement de l'ordre des lettres dans un mot. En cliquant sur le lien, une copie int\u00e9grale du site npmjs.com s'ouvrait (un proxy avait probablement \u00e9t\u00e9 configur\u00e9 pour intercepter le jeton d'acc\u00e8s).
<\/center> <\/p>\n
Au cours de l'attaque, de nouvelles versions de paquets ont \u00e9t\u00e9 cr\u00e9\u00e9es : <\/p>\n
Des codes malveillants ont \u00e9t\u00e9 ajout\u00e9s aux versions publi\u00e9es pour attaquer les utilisateurs de la plateforme Windows. Les modifications apport\u00e9es t\u00e9l\u00e9chargeaient la biblioth\u00e8que node-gyp.dll, contenant des fonctionnalit\u00e9s pour l'ex\u00e9cution \u00e0 distance de commandes dans le syst\u00e8me. <\/p>\n
Le mainteneur a r\u00e9alis\u00e9 qu'il \u00e9tait victime de phishing environ une heure apr\u00e8s avoir re\u00e7u la premi\u00e8re plainte concernant la publication de versions douteuses. Il a imm\u00e9diatement r\u00e9voqu\u00e9 le jeton d'acc\u00e8s, chang\u00e9 les mots de passe, marqu\u00e9 les versions probl\u00e9matiques comme obsol\u00e8tes pour emp\u00eacher leur t\u00e9l\u00e9chargement par des syst\u00e8mes de construction automatis\u00e9s et envoy\u00e9 une demande pour supprimer les versions probl\u00e9matiques du d\u00e9p\u00f4t au support NPM. <\/p>\n
Il n'est pas pr\u00e9cis\u00e9 combien d'utilisateurs ont r\u00e9ussi \u00e0 t\u00e9l\u00e9charger les versions malveillantes (par exemple, la version malveillante du paquet eslint-plugin-prettier est rest\u00e9e dans le d\u00e9p\u00f4t pendant environ deux jours). La semaine derni\u00e8re, le paquet eslint-config-prettier a comptabilis\u00e9 30 millions de t\u00e9l\u00e9chargements et a \u00e9t\u00e9 utilis\u00e9 comme d\u00e9pendance par 11 762 paquets, le paquet eslint-plugin-prettier a enregistr\u00e9 21 millions de t\u00e9l\u00e9chargements (8 468 paquets d\u00e9pendants), synckit a obtenu 18 millions, @pkgr\/core 16 millions et napi-postinstall 10 millions. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Le](\"\/wp-content\/uploads\/2025\/07\/0d5e2613f7265b3fcca6ee367c0ecac9.png\")
<\/center> <\/p>\n