npm : nouvelle campagne de malware via un paquet massivement installé

Introduction
Checkmarx Zero a découvert une nouvelle campagne de malware ciblant le package npm indexed-btree, qui contourne les protections récentes de npm v12 et utilise la blockchain Ethereum pour masquer son infrastructure.

Points clés
- Contournement des protections npm : les restrictions preinstall et postinstall sont partiellement contournées ; le code malveillant se cache dans une fonction légitime et s’exécute uniquement lors de l’utilisation de la bibliothèque.
- Impact massif : indexed-btree enregistre près de 2 millions de téléchargements hebdomadaires, exposant potentiellement des millions de projets JavaScript.
- Infrastructure résiliente : les attaquants utilisent un smart‑contract Ethereum pour transmettre les adresses de commande, rendant le démantèlement par blocage d’IP ou de domaines beaucoup plus difficile, tandis que l’obfuscation du code complique la détection.