{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"Dans 42 paquets NPM, TanStack a int\u00e9gr\u00e9 un ver auto-r\u00e9pliquant.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c0 la suite d'une compromission du processus de cr\u00e9ation de versions bas\u00e9 sur GitHub Actions dans le projet TanStack, les attaquants ont r\u00e9ussi \u00e0 publier 84 versions malveillantes dans le d\u00e9p\u00f4t NPM, touchant 42 paquets NPM du stack TanStack. Certains des paquets compromis comptaient plus de 10 millions de t\u00e9l\u00e9chargements par semaine. <\/p>\n
L'acc\u00e8s \u00e0 la publication des releases a \u00e9t\u00e9 obtenu en raison d'une mauvaise configuration de pull_request_target \u00ab Pwn Request \u00bb dans GitHub Actions (la sp\u00e9cification du masque dans les param\u00e8tres a conduit \u00e0 l'ex\u00e9cution de pull_request_target pour des pull requests dans des forks tiers), de l'empoisonnement du cache GitHub Actions via un fork et de la possibilit\u00e9 d'extraire le token OIDC de la m\u00e9moire du processus d'ex\u00e9cution (Runner.Worker) en lisant le contenu de \/proc\/\/mem. <\/p>\n
Les paquets NPM avec des modifications malveillantes ont \u00e9t\u00e9 publi\u00e9s le 11 mai entre 22h20 et 22h26 (MSK), d\u00e9tect\u00e9s au bout de 20 minutes et bloqu\u00e9s apr\u00e8s une heure et demie. Pour chacun des paquets NPM concern\u00e9s, deux versions malveillantes ont \u00e9t\u00e9 publi\u00e9es, int\u00e9grant un code pour activer le ver mini-shai-hulud, qui recherchait des jetons et des identifiants dans l'environnement actuel. En cas de d\u00e9tection d'un jeton d'acc\u00e8s au r\u00e9pertoire NPM, le ver publiait automatiquement de nouvelles versions malveillantes pour les paquets en cours de d\u00e9veloppement dans l'environnement actuel, affectant l'arborescence des d\u00e9pendances. Plus de 400 paquets NPM utilisant des paquets TanStack comme d\u00e9pendances ont ainsi \u00e9t\u00e9 compromis. <\/p>\n
Le ver \u00e9tait plac\u00e9 dans le fichier router_init.js et s'activait lors de l'installation manuelle du package compromis par le d\u00e9veloppeur ou automatiquement dans un environnement d'int\u00e9gration continue \u00e0 l'aide des commandes \u00ab npm install \u00bb, \u00ab pnpm install \u00bb ou \u00ab yarn install \u00bb. Apr\u00e8s activation, le ver recherchait dans le syst\u00e8me des tokens NPM (~\/.npmrc), AWS, GCP, Azure, HashiCorp et KubernetesK8s, ainsi que des cl\u00e9s SSH priv\u00e9es. Les donn\u00e9es trouv\u00e9es \u00e9taient envoy\u00e9es aux cybercriminels via le messager P2P d\u00e9centralis\u00e9 getsession.org. <\/p>\n
Le ver \u00e9tait con\u00e7u pour effectuer des actions destructrices en cas de r\u00e9vocation du token NPM intercept\u00e9 \u2014 dans le syst\u00e8me, un ex\u00e9cutable de script ~\/.local\/bin\/gh-token-monitor.sh \u00e9tait programm\u00e9 pour \u00eatre lanc\u00e9 p\u00e9riodiquement, v\u00e9rifiant toutes les 60 secondes l'activit\u00e9 du token en acc\u00e9dant \u00e0 api.github.com\/user et, en cas de r\u00e9vocation du token, ex\u00e9cutait la commande \u00ab rm -rf ~\/ \u00bb. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"