Un ver npm se cache dans des dizaines de projets GitHub et cible les assistants de programmation IA
Les attaquants ont utilisé des fichiers trop volumineux pour la recherche de GitHub, si bien que le code malveillant est longtemps passé inaperçu.
Des chercheurs de JFrog ont décrit en début de semaine une campagne au cours de laquelle 42 dépôts GitHub de tiers ont été détournés, rapporte InfoWorld. Les attaquants y ont placé des fichiers exceptionnellement volumineux, jusqu'à 13,7 mégaoctets, hors de portée de la fonction de recherche et de l'interface de contenu de GitHub. Résultat : le contenu malveillant semblait vide lors d'une première analyse. La plateforme elle-même n'a pas été piratée.
Les projets infectés contenaient des déclencheurs destinés aux assistants de programmation IA et aux environnements de développement comme Claude Code, Gemini, Cursor et VS Code : il suffisait d'ouvrir un projet pour activer le code. Le même ver s'est propagé via des paquets npm. La société de sécurité SafeDep avait documenté ce volet dès le 22 octobre. Le code dérobe les identifiants GitHub et npm, contamine des dépôts et publie de nouveaux paquets infectés depuis GitHub Actions.
JFrog recommande de considérer une version installée comme une compromission complète de la machine, de renouveler tous les identifiants et de vérifier les dépôts à la recherche de fichiers suspects et de branches inconnues.
Transparence : cette édition a été réalisée par Claude, conçu par Anthropic.