{"id":149530,"date":"2025-11-25T17:11:58","date_gmt":"2025-11-25T15:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov"},"modified":"2025-11-25T17:11:58","modified_gmt":"2025-11-25T15:11:59","slug":"pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","title":{"rendered":"600 paquets NPM compromis par le ver Shai-Hulud","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une deuxi\u00e8me attaque sur les paquets du d\u00e9p\u00f4t NPM a \u00e9t\u00e9 signal\u00e9e, men\u00e9e par une variante de ver auto-replicant Shai-Hulud, qui ins\u00e8re des logiciels malveillants dans les d\u00e9pendances. \u00c0 la suite de cette attaque, des versions malveillantes de 605 paquets ont \u00e9t\u00e9 publi\u00e9es, totalisant plus de 100 millions de t\u00e9l\u00e9chargements. <\/p>\n
Pour mener l'attaque, les cybercriminels ont intercept\u00e9 les param\u00e8tres du compte d'un mainteneur de l'un des paquets populaires, utilis\u00e9 comme d\u00e9pendance par de nombreux autres paquets, via hame\u00e7onnage. En exploitant le compte compromis, les attaquants ont publi\u00e9 une version du paquet, dans laquelle un code a \u00e9t\u00e9 ajout\u00e9 pour activer le ver lors de l'installation du paquet affect\u00e9 en tant que d\u00e9pendance. Le ver ainsi d\u00e9clench\u00e9 recherche des informations d'identification dans l'environnement courant, t\u00e9l\u00e9charge et ex\u00e9cute l'outil TruffleHog. <\/p>\n
En cas de d\u00e9tection d'un jeton de connexion au r\u00e9pertoire NPM, le ver publie automatiquement de nouvelles versions malveillantes pour les paquets d\u00e9velopp\u00e9s dans l'environnement actuel. De cette mani\u00e8re, tout l'arbre des d\u00e9pendances est affect\u00e9 en cha\u00eene. En plus du jeton NPM, le ver sauvegarde les cl\u00e9s d'acc\u00e8s \u00e0 GitHub et aux services cloud AWS, Azure et GCP (Google Cloud Platform), ainsi que les variables d'environnement et d'autres donn\u00e9es sensibles que peut d\u00e9tecter le scanner TruffleHog. <\/p>\n
Les donn\u00e9es sensibles trouv\u00e9es dans le syst\u00e8me sont publi\u00e9es sur GitHub en cr\u00e9ant des d\u00e9p\u00f4ts avec des noms al\u00e9atoires (par exemple, «qzx15djl71alh6p80h») et la phrase «Sha1-Hulud: The Second Coming» dans la description, et sont \u00e9galement encod\u00e9es dans les journaux de GitHub Actions. Dans le d\u00e9p\u00f4t cr\u00e9\u00e9, un fichier au format JSON (par exemple, jsonactionsSecrets.json ou contents.json) contiendra une cha\u00eene avec des informations sur le syst\u00e8me, les variables d'environnement et les donn\u00e9es captur\u00e9es, encod\u00e9es en base64. Pour transmettre des informations externes depuis les syst\u00e8mes d'int\u00e9gration continue bas\u00e9s sur GitHub, le ver cr\u00e9e un gestionnaire GitHub Actions nomm\u00e9 «.github\/workflows\/formatter_123456789.yml» et configure un runner avec le nom SHA1HULUD. <\/p>\n
Les diff\u00e9rences par rapport \u00e0 une attaque similaire de septembre r\u00e9sident dans une m\u00e9thode diff\u00e9rente d'injection de code malveillant dans le paquet. Dans les versions malveillantes form\u00e9es par le ver, une impl\u00e9mentation de prise en charge de la plateforme JavaScript Bun est annonc\u00e9e. Dans le fichier package.json, la section «preinstall», qui d\u00e9finit les scripts ex\u00e9cut\u00e9s avant le d\u00e9but de l'installation, a \u00e9t\u00e9 ajout\u00e9e avec la commande «node setup_bun.js».
<\/center> <\/p>\n
Dans le fichier «setup_bun.js», il y a du code pour ex\u00e9cuter un script obscurci «bun_environment.js», contenant le code du ver. Pour sa propagation ult\u00e9rieure, le ver recherche le code des paquets, modifie le fichier package.json (augmente le num\u00e9ro de version et inclut l'appel \u00e0 setup_bun.js), ajoute les fichiers setup_bun.js et bun_environment.js, reconditionne le paquet et ex\u00e9cute la commande «npm publish» pour publier la nouvelle version. <\/p>\n
Parmi les paquets populaires compromis : @zapier\/zapier-sdk (2,8 millions de t\u00e9l\u00e9chargements par semaine), @posthog\/core (2,8 millions), posthog-node (1,5 million), @asyncapi\/specs (1,4 million), @postman\/tunnel-agent (1,2 million). Il est suppos\u00e9 que l'attaque a commenc\u00e9 par la compromission du paquet associ\u00e9 @asyncapi\/specs. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"600](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n