Logiciel malveillant PhantomRaven

Des chercheurs en cybersécurité ont mis au jour une attaque très active ciblant la chaîne d'approvisionnement logicielle de l'écosystème npm. Plus de 100 paquets malveillants ont été identifiés ; ils sont capables de dérober des identifiants sensibles de développeurs, tels que des jetons d'authentification, des secrets CI/CD et des identifiants GitHub, directement depuis les machines compromises.

La campagne, baptisée PhantomRaven, a fait son apparition en août 2025. Depuis, elle s'est étendue à 126 bibliothèques npm et a généré plus de 86 000 installations, démontrant la propagation et l'adoption rapides de ces paquets malveillants.

Des colis malveillants passent inaperçus

Plusieurs des paquets signalés comprennent :

• op-cli-installer – 486 téléchargements
• importations inutilisées – 1 350 téléchargements
• badgekit-api-client – 483 téléchargements
• polyfill-corejs3 – 475 téléchargements
• Commentaires ESLint – 936 téléchargements

Ce qui rend PhantomRaven particulièrement insidieux, c'est son utilisation des dépendances dynamiques distantes (RDD). Au lieu de récupérer le code depuis le registre npm officiel, les paquets malveillants pointent vers une URL HTTP personnalisée (packages.storeartifact.com). Cela permet à npm de récupérer des dépendances depuis une source externe non fiable, contournant ainsi les protections de npmjs.com.

Les outils d'analyse de sécurité et d'analyse des dépendances traditionnels ne parviennent pas à détecter ces RDD, car les systèmes automatisés considèrent que les packages ont « 0 dépendances ».

Comment fonctionne l’attaque

La chaîne d'attaque commence dès qu'un développeur installe l'un des paquets apparemment inoffensifs. Les éléments clés sont les suivants :

Exécution du hook de pré-installation : Le package contient un script de cycle de vie de pré-installation qui exécute automatiquement la charge utile principale.

Récupération de charge utile à distance : Le script récupère la dépendance malveillante depuis le serveur contrôlé par l’attaquant.

Exfiltration de données : Une fois exécuté, le logiciel malveillant analyse l'environnement du développeur à la recherche d'adresses électroniques, collecte des informations sur l'environnement CI/CD, identifie le système (y compris l'adresse IP publique) et envoie les données à un serveur distant.

L'attaquant peut modifier la charge utile à volonté, en diffusant initialement un code inoffensif pour échapper à la détection avant de diffuser des mises à jour malveillantes une fois que le package sera adopté.

Exploiter les angles morts humains et de l’IA

Le choix des noms de paquets est délibéré. L'attaquant utilise une technique appelée « slopsquatting », où les grands modèles de langage (LLM) génèrent des noms de paquets inexistants mais plausibles. Les développeurs peuvent faire confiance à ces paquets en raison de leur réalisme, ignorant la menace cachée.

Comme le soulignent les chercheurs, PhantomRaven met en évidence la sophistication croissante des attaquants :

• Les dépendances dynamiques distantes échappent à l'analyse statique.
• Les noms de paquets générés par l'IA exploitent la confiance des développeurs.
• Les scripts de cycle de vie s'exécutent automatiquement sans intervention de l'utilisateur.

Cette campagne met en lumière la façon dont les acteurs malveillants trouvent de nouvelles façons de dissimuler du code dans les écosystèmes open-source, en exploitant les failles des outils de sécurité traditionnels.

Pourquoi npm est une cible de choix

La simplicité de publication des paquets au sein de l'écosystème npm, combinée à l'exécution automatique des scripts de préinstallation, d'installation et de postinstallation, en fait une cible de choix. Les attaquants peuvent dissimuler des comportements malveillants dans ces scripts de cycle de vie, souvent à l'insu du développeur, ce qui souligne la nécessité d'une vigilance accrue et de pratiques de sécurité robustes dans les environnements de développement modernes.