La version npm malveillante 8.14.0 de jscrambler a déployé un voleur d’informations multiplateforme

Une version compromise du package npm jscrambler a installé un voleur d’informations basé sur Rust sur les systèmes de développeurs, selon les analyses de Socket, StepSecurity et SafeDep. La version 8.14.0 a été publiée le 11 juillet 2026, puis remplacée peu après par la version 8.15.0. Toutefois, la version compromise reste disponible sur npm et peut toujours être installée lorsqu’elle est référencée par un fichier de verrouillage ou une version explicite.

Le package malveillant a introduit un hook preinstall et deux fichiers sous dist/. Le chargeur sélectionne un binaire spécifique à la plateforme intégré à intro.js, l’écrit dans un fichier au nom aléatoire du répertoire temporaire du système, puis le démarre en dissimulant sa sortie. Les chercheurs ont découvert des compilations pour Windows, macOS et Linux. Les fichiers ne semblent pas apparaître dans l’historique public du code source du projet, et aucun commit ni tag 8.14.0 correspondant n’a été identifié, ce qui laisse penser qu’un compte de mainteneur ou un pipeline de publication a pu être compromis.

Informations ciblées

Le logiciel malveillant recherche des identifiants et des données de session généralement présents sur les systèmes de développement et d’intégration continue. Les cibles signalées comprennent les identifiants AWS, Azure et Google Cloud ; les mots de passe et cookies des navigateurs ; les portefeuilles de cryptomonnaies ; les données Bitwarden ; ainsi que les sessions de services tels que Discord, Slack, Telegram et Steam. Les fichiers de configuration utilisés par les outils de développement IA, notamment Claude Desktop, Cursor, Windsurf, VS Code et Zed, sont également ciblés, car ils peuvent contenir des clés d’API ou des identifiants du protocole Model Context.

Sous Linux, le binaire inclut des fonctionnalités associées au chargement de code eBPF, tandis que les variantes Windows et macOS mettent en œuvre des mécanismes de persistance. La surveillance de l’exécution a révélé des connexions vers deux adresses IP codées en dur ainsi que vers une infrastructure Tor. Le package est téléchargé environ 15 800 fois par semaine, bien que le nombre d’installations de la version 8.14.0 soit inconnu.

Réponse recommandée

• Passez à la version 8.15.0 ou revenez à la version 8.13.0, et supprimez la version 8.14.0 des fichiers de verrouillage et des caches.
• Examinez les journaux des gestionnaires de packages et l’activité des systèmes CI pour détecter les installations effectuées depuis le 11 juillet, notamment l’exécution de dist/setup.js.
• Inspectez les répertoires temporaires, les tâches planifiées et les LaunchAgents macOS à la recherche d’artefacts suspects.
• Considérez que les secrets accessibles ont été exposés : renouvelez les identifiants cloud, npm, GitHub et ceux des outils d’IA ; révoquez les sessions ; et sécurisez les cryptomonnaies détenues sur les systèmes concernés.

L’incident souligne les risques liés aux scripts d’installation dans les dépendances de développement. npm 12 désactive ces scripts par défaut, mais les anciennes versions des clients peuvent les exécuter automatiquement.