{"id":182783,"date":"2026-08-10T19:40:40","date_gmt":"2026-08-10T17:40:40","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov"},"modified":"2026-08-12T20:28:40","modified_gmt":"2026-08-12T18:28:40","slug":"novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","title":{"rendered":"Le nouveau ver ChainDrop a infect\u00e9 plus de 400 paquets NPM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Une attaque de grande envergure a \u00e9t\u00e9 signal\u00e9e<\/a> sur des paquets dans le d\u00e9p\u00f4t NPM, men\u00e9e \u00e0 l'aide d'un nouveau ver auto-r\u00e9plicant nomm\u00e9 ChainDrop, qui injecte des logiciels malveillants dans les d\u00e9pendances. En cons\u00e9quence, 2212 publications malveillantes ont \u00e9t\u00e9 publi\u00e9es pour 444 paquets. Les paquets les plus populaires parmi ceux compromis, keyv, flat-cache et file-entry-cache, comptabilisent respectivement 154, 149,9 et 147,6 millions de t\u00e9l\u00e9chargements par semaine.<\/p>\n

 <\/p>\n

Le chargeur du ver \u00e9tait contenu dans les fichiers setup.mjs et Math_Symbol.js, qui \u00e9taient ex\u00e9cut\u00e9s \u00e0 l'aide du pr\u00e9processeur preinstall (\"preinstall\": \"node setup.mjs\"), d\u00e9clench\u00e9 lors de l'installation du paquet compromis. Les scripts mentionn\u00e9s chargeaient un runtime Bun l\u00e9gitime et un code obfusqu\u00e9 du ver, d'une taille de 710 Ko. Apr\u00e8s activation, le ver recherchait dans le syst\u00e8me et dans les variables d'environnement des jetons pour NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s et d'autres services (plus de 140 chemins de fichiers \u00e9taient analys\u00e9s, tels que ~\\ .npmrc), et analysait \u00e9galement la m\u00e9moire (via \/proc\/\/mem) de l'environnement GitHub Actions \u00e0 la recherche de jetons et de donn\u00e9es d'identification.<\/p>\n

 <\/p>\n

En cas de d\u00e9tection d'un token pour se connecter au r\u00e9pertoire NPM, le ver publiait automatiquement de nouvelles versions malveillantes pour les paquets en d\u00e9veloppement dans l'environnement actuel, affectant l'arborescence des d\u00e9pendances. Contrairement au ver pr\u00e9c\u00e9demment identifi\u00e9 Shai-Hulud 2.0<\/a> ChainDrop exploitait la technique EtherHiding pour recevoir des commandes de contr\u00f4le via la blockchain publique Ethereum, utilisant le cryptage pour masquer la transmission de donn\u00e9es sensibles au serveur des attaquants et assurant l'injection dans les fichiers de configuration de Claude Code, VS Code et GitHub Copilot pour maintenir une pr\u00e9sence dans le syst\u00e8me.<\/p>\n

 <\/p>\n

L'attaque a commenc\u00e9 par la compromission du processus de g\u00e9n\u00e9ration de versions bas\u00e9 sur GitHub Actions pour le paquet keyv<\/a>, qui totalise 154 millions de t\u00e9l\u00e9chargements par semaine et est utilis\u00e9 comme d\u00e9pendance dans 1703 paquets. Les attaquants ont cr\u00e9\u00e9 une nouvelle version 6.0.0, int\u00e9grant du code malveillant, et l'ont publi\u00e9e en utilisant le m\u00e9canisme de \"Trusted Publishers<\/a>\" et une v\u00e9rification SLSA<\/a>. Apr\u00e8s publication, le ver a infect\u00e9 de nombreux paquets d\u00e9pendant de keyv et a progressivement contamin\u00e9 les d\u00e9pendances indirectes.<\/p>\n

 <\/p>\n

Parmi les paquets les plus populaires qui ont \u00e9t\u00e9 touch\u00e9s par le ver, produisant pour eux des versions malveillantes, on trouve :<\/p>\n