[cybersécurité] NPM des dépendances infectées

Hello tout le monde,

Si vous avez un projet dans lequel npm est le socle (backend), je vous invite à regarder si vous avez ces dépendances :
- chalk
- strip-ans
- color-convert
- color-name
- error-ex
- simple-swizzle
- has-ansi

Ces modules sont infectés. Dans le code source de ces derniers, un code malicieux et obfusqué a été injecté. Que fait ce code ? Il regarde si l'application fait des transactions blockchain. Certains vont dire : « ce n'est pas grave ». Mon application ne gère pas de transactions de ce type. Oui, mais :
1. c'est un malware
2. les performances

Bonne journée

source : Anatomy of a Billion-Download NPM Supply-Chain Attack

Hello,

Dans le même genre on peut aussi encourager à faire un npm audit pour répertorier toutes les vulnérabilités liés aux packages d'un projet. Elles sont normalement toujours indiquées lors de l'installation d'un package.

Là c'est encore différent, il s'agit d'un code malicieux. J'ignore pendant combien de temps ils sont conservés tels quels dans la registry et si les utilisateurs sont invités à désinstaller le package en question.

Quelqu'un sait comment fonctionne NPM à ce sujet ?
Modifié par Anymah (16 Sep 2025 - 20:03)

Bonjour,

Ce problème est déjà arrivé par le passé (bonjour la pub pour l'écosystème Node.JS). Avec l'affaire Marak Squires et son sabordage de ses propres packages** - notamment color.js - NPM avait pris la main sur les packages, en retirant les versions malveillantes de son registre.

** Pour protester contre leurs utilisations gratuites par de grandes entreprises.
Modifié par Olivier C (17 Sep 2025 - 01:00)

Oh wow, merci de l'info, je relaie c'est terrible ! Je comprendrais jamais pour les hackeurs peuvent être méchant(e)s ainsi envers notre commu Les développeuses et dev se font suer à faire les choses bien pour au final être à la merci de ce genre de personne. En tout cas, merci de partager ces abus !!!

Anymah a écrit :
Quelqu'un sait comment fonctionne NPM à ce sujet ?

Je ne comprends pas trop ta question.