{"id":143668,"date":"2025-09-17T11:11:56","date_gmt":"2025-09-17T09:11:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/samorasprostranyayushhijsya-cherv-porazil-187-paketov-v-npm"},"modified":"2026-02-08T21:43:52","modified_gmt":"2026-02-08T19:43:52","slug":"samorasprostranyayushhijsya-cherv-porazil-187-paketov-v-npm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/samorasprostranyayushhijsya-cherv-porazil-187-paketov-v-npm","title":{"rendered":"Un ver informatique auto-propag\u00e9 a infect\u00e9 187 paquets dans NPM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'attaque sur les paquets maintenus dans le r\u00e9f\u00e9rentiel NPM a atteint un nouveau niveau. En plus d'utiliser des logiciels malveillants pour intercepter des paiements et des informations confidentielles, les attaquants ont commenc\u00e9 \u00e0 injecter un ver dans des paquets compromis pour automatiser l'insertion de logiciels malveillants dans les d\u00e9pendances. L'utilisation du ver a \u00e9t\u00e9 d\u00e9tect\u00e9e apr\u00e8s la compromission du paquet NPM @ctrl\/tinycolor, qui a 2,2 millions de t\u00e9l\u00e9chargements hebdomadaires et qui est utilis\u00e9 comme d\u00e9pendance directe dans 964 paquets. En raison de l'activit\u00e9 du ver, l'attaque a touch\u00e9 187 paquets, pour lesquels des versions malveillantes ont \u00e9t\u00e9 cr\u00e9\u00e9es (477 versions malveillantes). <\/p>\n

Lors d'une nouvelle attaque, apr\u00e8s avoir obtenu les identifiants du compte du mainteneur par phishing, les attaquants publient une version d'un paquet contenant un ver qui s'active lors de l'installation du paquet compromis en tant que d\u00e9pendance. Une fois activ\u00e9, le ver recherche des identifiants dans l'environnement actuel, t\u00e9l\u00e9charge et ex\u00e9cute l'outil TruffleHog. En cas de d\u00e9tection d'un token de connexion au r\u00e9pertoire NPM, le ver publie automatiquement une nouvelle version malveillante et affecte en cha\u00eene l'arborescence des d\u00e9pendances. En plus du token d'acc\u00e8s \u00e0 NPM, le ver conserve les cl\u00e9s d'acc\u00e8s \u00e0 GitHub et aux services cloud AWS, Azure et GCP (Google Cloud Platform), ainsi que d'autres donn\u00e9es confidentielles susceptibles d'\u00eatre d\u00e9tect\u00e9es par le scanner TruffleHog. <\/p>\n

Des versions malveillantes sont cr\u00e9\u00e9es pour les 20 paquets les plus populaires auxquels le token NPM trouv\u00e9 donne acc\u00e8s. La fonctionnalit\u00e9 de publication de version est impl\u00e9ment\u00e9e sous la forme d'une fonction NpmModule.updatePackage, qui charge l'archive source du paquet, modifie le num\u00e9ro de version et ajoute un hook postinstall dans le fichier package.json, ins\u00e8re le gestionnaire bundle.js, reconditionne le paquet et le publie. La fonction est compatible avec Linux et macOS. <\/p>\n

Le ver a re\u00e7u le nom de code Shai-Hulud (un ver g\u00e9ant mentionn\u00e9 dans le roman Dune). Les identifiants trouv\u00e9s dans le syst\u00e8me sont publi\u00e9s sur GitHub en cr\u00e9ant des d\u00e9p\u00f4ts nomm\u00e9s Shai-Hulud (par exemple, \u00ab B611\/Shai-Hulud \u00bb), et sont \u00e9galement refl\u00e9t\u00e9s sous forme cod\u00e9e dans les journaux de GitHub Actions. Dans le d\u00e9p\u00f4t cr\u00e9\u00e9, un fichier data.json contient une cha\u00eene d'informations sur le syst\u00e8me, les variables d'environnement et les cl\u00e9s d'acc\u00e8s intercept\u00e9es, encod\u00e9e en base64. Dans le CI bas\u00e9 sur GitHub, pour transmettre des informations vers un h\u00f4te externe, le ver cr\u00e9e un handler GitHub Actions (.github\/workflows\/shai-hulud-workflow.yml). Apparemment, l'attaque ne se limite pas aux 187 paquets mentionn\u00e9s, car de nouveaux d\u00e9p\u00f4ts nomm\u00e9s Shai-Hulud et contenant un fichier data.json continuent d'appara\u00eetre sur GitHub.

\"Un<\/center> <\/p>\n

Entre autres, en raison de l'activit\u00e9 du ver, 25 paquets de la soci\u00e9t\u00e9 CrowdStrike, qui d\u00e9veloppe des outils pour la protection contre les attaques<\/a> via les d\u00e9pendances (Supply Chain). Selon CrowdStrike, les paquets compromis n'ont pas \u00e9t\u00e9 utilis\u00e9s sur la plateforme Falcon et l'attaque ne s'est pas \u00e9tendue aux clients. Il a \u00e9galement \u00e9t\u00e9 indiqu\u00e9 qu'une vague pr\u00e9c\u00e9dente de publications de versions malveillantes sur NPM, r\u00e9alis\u00e9e sans le ver, a touch\u00e9 le projet gemini-cli d\u00e9velopp\u00e9 par Google.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0410\u0442\u0430\u043a\u0430 \u043d\u0430 \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0438\u0445 \u043f\u0430\u043a\u0435\u0442\u044b \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 NPM \u043f\u0435\u0440\u0435\u0448\u043b\u0430 \u043d\u0430 \u043d\u043e\u0432\u044b\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c. \u0412 \u0434\u043e\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u0434\u043b\u044f \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0430 \u043f\u043b\u0430\u0442\u0435\u0436\u0435\u0439 \u0438 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0435 \u043f\u0435\u0440\u0435\u0448\u043b\u0438 \u043a \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u044e \u0432 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u043f\u0430\u043a\u0435\u0442\u044b \u0447\u0435\u0440\u0432\u044f \u0434\u043b\u044f \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438. \u041f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0447\u0435\u0440\u0432\u044f \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 NPM-\u043f\u0430\u043a\u0435\u0442\u0430 @ctrl\/tinycolor, \u0438\u043c\u0435\u044e\u0449\u0435\u0433\u043e 2.2 \u043c\u043b\u043d \u0435\u0436\u0435\u043d\u0435\u0434\u0435\u043b\u044c\u043d\u044b\u0445 \u0437\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0438 \u0437\u0430\u0434\u0435\u0439\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0440\u044f\u043c\u043e\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":143669,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-143668","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Un ver autor\u00e9plicant a infect\u00e9 187 paquets sur NPM | ProHoster","description":"L'attaque sur les paquets accompagnants dans le d\u00e9p\u00f4t NPM a atteint un nouveau niveau.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/samorasprostranyayushhijsya-cherv-porazil-187-paketov-v-npm","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u0430\u043c\u043e\u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u0447\u0435\u0440\u0432\u044c \u043f\u043e\u0440\u0430\u0437\u0438\u043b 187 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0432 NPM | ProHoster","og:description":"\u0410\u0442\u0430\u043a\u0430 \u043d\u0430 \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0438\u0445 \u043f\u0430\u043a\u0435\u0442\u044b \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 NPM \u043f\u0435\u0440\u0435\u0448\u043b\u0430 \u043d\u0430 \u043d\u043e\u0432\u044b\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/samorasprostranyayushhijsya-cherv-porazil-187-paketov-v-npm","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-09-17T09:11:57+00:00","article:modified_time":"2026-02-08T19:43:52+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"143668","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-08 19:43:52","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 14:50:19","updated":"2026-02-08 19:43:52","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/143668","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=143668"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/143668\/revisions"}],"predecessor-version":[{"id":157614,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/143668\/revisions\/157614"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/143669"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=143668"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=143668"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=143668"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}