Attaque npm keyv : un ver informatique vole les credentials de 2 500 organisations via la supply chain npm

L’ecosysteme npm vient de subir ce qui pourrait etre l’attaque supply chain la plus sophistiquee de son histoire. Le 4 aout 2026, un attaquant a pris le controle du compte GitHub de Jared Wray — le mainteneur derriere keyv, l’une des bibliotheques de caching les plus utilisees du monde JavaScript avec 127 millions de telechargements hebdomadaires. En exploitant cet acces, l’attaquant a publie des versions malveillantes de 10 paquets npm de caching largement adoptes dans l’ecosysteme, declenchant une cascade d’infections sans precedent.

Ce qui distingue cette attaque des incidents precedents — event-stream, ua-parser-js, ou meme la premiere vague Mini Shai-Hulud sur TanStack en mai 2026 — c’est la combinaison de trois innovations offensives. Premierement, un payload massif de 728 Ko capable de voler huit categories de credentials differentes, des tokens npm aux kubeconfigs Kubernetes. Deuxiemement, l’utilisation d’un smart contract Ethereum comme infrastructure de commande et controle, rendant le takedown quasi impossible. Troisiemement, un mecanisme de ver auto-propagateur : chaque token npm vole est immediatement utilise pour publier de nouvelles versions corrompues d’autres paquets, creant une propagation exponentielle.

Le bilan, selon les analyses de Socket.dev et Chainguard, est vertigineux : plus de 400 paquets compromis, 2 500 organisations directement touchees, et 434 000 pipelines CI/CD potentiellement exposes. Le detail le plus inquietant ? Les tarballs empoisonnes portaient une provenance npm valide, signee par les workflows GitHub Actions legitimes du depot — ce qui signifie que les mecanismes de verification de provenance Sigstore, censes proteger l’ecosysteme, ont ete completement contournes. Cet article decortique le mecanisme d’attaque, etablit la chronologie, mesure l’impact et detaille les contre-mesures immediates pour les equipes de developpement open source francophones.

Phase 1 : la compromission du compte GitHub de jaredwray

L’attaque commence par ce qui ressemble a un classique de la compromission de mainteneur : la prise de controle du compte GitHub de Jared Wray. Selon l’analyse de Chainguard, le vecteur initial est probablement un token d’acces personnel (PAT) compromis — soit par un infostealer precedent, soit par une campagne de phishing ciblee. Le compte ne disposait pas d’une authentification a deux facteurs materielle (WebAuthn/FIDO2), s’appuyant uniquement sur un TOTP logiciel plus facilement contournable.

Une fois le compte GitHub en main, l’attaquant dispose d’un acces en ecriture a l’ensemble des depots de la famille keyv et cacheable. Mais au lieu de publier directement sur le registre npm — ce qui aurait necessite un token npm separe — il adopte une strategie plus subtile et plus devastatrice : il modifie le code source et laisse les workflows GitHub Actions publier pour lui. Le commit malveillant ajoute deux fichiers au depot keyv : setup.mjs (le dropper) et Math_Symbol.js (le payload principal de 728 Ko). Un script "preinstall": "node setup.mjs" est ajoute au package.json. L’attaquant pousse ensuite un tag v6.0.0, declenchant le workflow de publication automatique configure sur le depot.

C’est le CI/CD legitime du projet qui publie keyv@6.0.0 sur npm. Le paquet resultant porte une attestation de provenance Sigstore parfaitement valide, generee par le workflow GitHub Actions officiel. Pour npm et pour les outils de verification comme npm audit signatures, ce paquet est authentique. La meme operation est repetee sur neuf autres paquets de la famille cacheable : cacheable, cacheable-request, flat-cache, file-entry-cache, et leurs sous-dependances.

Le delai entre la publication de keyv@6.0.0 (02h08 UTC) et la premiere alerte publique de Socket.dev (21h14 UTC) est de 19 heures et 6 minutes. Pendant cette fenetre, chaque npm install ou npm ci qui resolvait keyv sans version epinglee dans le lockfile telechargeait la version malveillante. Avec 127 millions de telechargements hebdomadaires pour keyv seul, le nombre d’installations pendant la fenetre d’exposition se chiffre en centaines de milliers. L’attaque a ete lancee un samedi — un choix delibere pour maximiser le delai avant detection.

Notre avis d’expert n° 1 : le smart contract Ethereum comme C2, une premiere dans la supply chain npm

D’apres l’analyse de Chainguard, le payload Math_Symbol.js de 728 Ko est fortement obfusque avec plusieurs couches de Base64, de chiffrement XOR et d’evaluation dynamique (eval et Function). Une fois desobfusque, il revele un stealer multiplateforme (Windows, macOS, Linux) qui cible systematiquement huit categories de secrets : les fichiers ~/.npmrc et ~/.yarnrc, les tokens GitHub CLI (~/.config/gh/hosts.yml), les credentials AWS (~/.aws/credentials), les tokens HashiCorp Vault, les kubeconfigs (~/.kube/config), les cles SSH (~/.ssh/), les fichiers .env et les fichiers de configuration de portefeuilles crypto.

Les donnees collectees sont chiffrees avec une cle AES-256 derivee dynamiquement, puis encodees en calldata et envoyees a un smart contract Ethereum via un noeud RPC public. L’attaquant peut ensuite lire les donnees a tout moment en interrogeant le contrat. Ce mecanisme elimine le point de defaillance unique des C2 traditionnels et rend le suivi par les equipes de reponse a incident considerablement plus complexe.

Phase 2 : le mecanisme de propagation du ver

La veritable innovation de cette attaque reside dans son mecanisme de ver auto-propagateur. Contrairement aux attaques supply chain lineaires precedentes ou un seul paquet etait compromis, ici chaque machine infectee devient un vecteur de propagation. Le processus est methodique.

Lorsqu’un developpeur execute npm install sur un projet qui depend de keyv, le hook preinstall execute setup.mjs. Ce dropper telecharge et execute le payload principal Math_Symbol.js. Le payload commence par collecter le fichier ~/.npmrc de la machine — qui contient le token d’authentification npm du developpeur. Ce token est immediatement utilise pour enumerer tous les paquets auxquels le developpeur a acces en ecriture via l’API npm. Pour chaque paquet accessible, le ver genere une nouvelle version contenant le meme payload, la publie automatiquement, et passe au paquet suivant.

La propagation a suivi trois vagues. La premiere vague (02h-04h UTC) correspond aux 10 publications directes par l’attaquant via les workflows CI/CD du depot jaredwray. La deuxieme vague (06h-14h UTC) est la premiere generation de propagation automatique : les developpeurs qui ont execute npm install le matin (heure europeenne) ont vu leurs tokens voles, et le ver a publie environ 45 nouvelles versions corrompues. La troisieme vague (14h-21h UTC) est la deuxieme generation : les paquets de la deuxieme vague ont a leur tour infecte d’autres machines, ajoutant environ 350 paquets supplementaires. La progression geometrique.

D’apres Snyk, le ver ne se contente pas de publier des versions corrompues. Il modifie aussi les tags latest et next des paquets infectes, s’assurant que toute nouvelle installation sans version epinglee recoit la version malveillante. Il ajoute egalement des postinstall scripts pour maximiser les chances d’execution sur des machines ou ignore-scripts n’est pas configure.

Notre avis d’expert n° 2 : la provenance npm est contournee — le modele de confiance est rompu

La consequence immediate pour l’ecosysteme est la perte de confiance dans les attestations de provenance comme indicateur fiable de securite. Jusqu’a cette attaque, la recommandation standard etait de preferer les paquets avec provenance verificable. Cette recommandation reste valide — un paquet sans provenance est moins tracable — mais elle ne peut plus etre presentee comme une protection contre les mainteneurs compromis.

La solution structurelle, que nous recommandons chez D-Open depuis l’analyse des incidents precedents, est la provenance tridimensionnelle : qui a ecrit le code (commit signe GPG ou SSH), qui a approuve le merge (review signe), et quel workflow a construit le paquet (attestation Sigstore). Seule la combinaison des trois offre une protection efficace. Le rapport de la Linux Foundation sur la securite open source confirme cette direction.

Impact chiffre : 2 500 organisations, 434 000 pipelines

Les analyses convergentes de Socket.dev, Chainguard et Snyk permettent de dresser un bilan quantitatif de l’incident. Les chiffres, bien qu’encore en cours de consolidation, sont les suivants :

Les paquets les plus critiques touches sont : keyv (127M telechargements/semaine), cacheable (29M), flat-cache (565M cumulatifs) et file-entry-cache (557M cumulatifs). Ces derniers sont des dependances directes d’ESLint — l’outil de linting utilise dans plus de 90 % des projets JavaScript. Autrement dit : si vous avez execute npm install dans un projet avec ESLint pendant la fenetre d’exposition, vous etes potentiellement touche.

La dimension la plus preoccupante est le ciblage des pipelines CI/CD. D’apres Chainguard, 434 000 pipelines GitHub Actions, GitLab CI et Jenkins ont execute npm install avec les paquets compromis pendant la fenetre d’exposition. Les pipelines CI/CD sont des cibles de haute valeur car ils detiennent souvent des secrets de production — tokens de deploiement, cles cloud, credentials de registres de conteneurs. Un pipeline compromis donne acces non seulement au code mais a l’infrastructure de production.

Notre avis d’expert n° 3 : le passage du risque applicatif au risque infrastructure

L’ANSSI recommande depuis 2024 un cloisonnement strict entre les postes de developpement et les acces de production. Cette attaque vient de demontrer pourquoi cette recommandation est critique. Dans beaucoup de startups et de PME francaises, les developpeurs executent npm install sur les memes machines qui ont des kubeconfigs pointant vers les clusters de production. Ce melange est desormais un risque existentiel.

Pour les equipes qui deploient sur Kubernetes, notre guide sur la securisation des pipelines CI/CD detaille comment isoler les secrets de production des environnements de build. La regle d’or : aucun secret de production ne devrait etre accessible depuis un poste de developpement local. Les acces doivent passer par des sessions temporaires (AWS SSO, Vault leases, kubeconfigs a duree de vie limitee).

Ce que ca signifie pour vous : 7 actions immediates

Si vous maintenez, deployez ou dependez de projets JavaScript/TypeScript, voici les actions a executer immediatement, classees par priorite decroissante.

Notre avis d’expert n° 4 : vers une defense en profondeur de la supply chain

Chez D-Open, nous avons immediatement audite les workflows de publication de tous les projets open source que nous accompagnons. Le constat est similaire a ce que nous avions identifie apres l’attaque Shai-Hulud Chaindrop : plus de 60 % des projets utilisent des workflows qui publient automatiquement lors d’un tag push, sans environnement de deploiement ni approbation manuelle. La bonne nouvelle est que la correction est relativement simple — quelques modifications dans les fichiers YAML de GitHub Actions et dans les parametres du depot. La mauvaise nouvelle est que cette correction doit etre appliquee a chaque depot individuellement.

Pour approfondir les mesures de protection, consultez notre guide complet sur la securisation des dependances npm et notre analyse de l’incident Phantom-Gyp et Miasma de juin 2026, qui prefigurait plusieurs techniques reutilisees dans cette attaque.

Implications pour l’ecosysteme open source francais

La France compte environ 380 000 developpeurs JavaScript/TypeScript actifs (estimation France Num 2026). La quasi-totalite de leurs projets dependent, directement ou transitivement, d’au moins un paquet de la famille keyv/cacheable. flat-cache et file-entry-cache sont des dependances d’ESLint, l’outil de linting utilise dans plus de 90 % des projets JavaScript francais. Les 434 000 pipelines CI/CD identifies par Chainguard incluent des pipelines d’entreprises francaises du CAC 40 comme de startups de la French Tech.

Les consequences reglementaires sont directes. La directive NIS2 impose aux entites essentielles et importantes de notifier l’ANSSI dans les 24 heures suivant la detection d’un incident significatif. Si des secrets de production (credentials cloud, kubeconfigs) ont ete exfiltres, l’incident entre dans le perimetre de notification obligatoire. Le rapport OSSRA 2026 de Synopsys montrait deja que 87 % des codebases auditees contenaient des composants open source vulnerables. Cette attaque ajoute une dimension supplementaire : la menace n’est plus seulement les vulnerabilites passives mais les compromissions actives par des adversaires organises.

Le rapport Verizon DBIR 2026 documentait le doublement des attaques supply chain par rapport a 2025. L’attaque keyv, avec son mecanisme de ver exponentiel et son ciblage de credentials d’infrastructure, confirme que cette trajectoire s’accelere. Les equipes de securite francaises doivent adapter leur modele de menace en consequence : la supply chain npm n’est plus un risque secondaire — c’est un vecteur d’attaque de premier ordre.

Questions frequentes