Les chercheurs ont découvert des packages NPM malveillants se faisant passer pour des intégrations N8n, exfiltrant les jetons OAuth et les clés API des flux de travail de l’entreprise.
Des acteurs malveillants ont été repérés cette semaine en train d’utiliser l’écosystème d’automatisation n8n comme une arme, en glissant des packages npm malveillants dans son marché de nœuds gérés par la communauté.
Les packages trompeurs, déguisés en intégrations légitimes comme les connecteurs Google Ads, ont incité les développeurs à connecter des clés OAuth et API, permettant aux attaquants d’extraire des jetons et des informations d’identification sensibles via une exécution de flux de travail apparemment routinière.
Selon Endor Labs, qui a découvert la campagne, l’attaque représente une nouvelle escalade des menaces sur la chaîne d’approvisionnement. « À notre connaissance, la plateforme d’automatisation des flux de travail n8n n’a jamais été la cible d’attaques de la chaîne d’approvisionnement », a déclaré Henrik Plate, chercheur principal chez Endor Labs. « Cela montre que les attaquants continuent de cibler de nouveaux écosystèmes pour propager des packages malveillants, peut-être en raison du renforcement des contrôles dans d’autres écosystèmes comme npm. »
Endor Labs a averti dans un article de blog que les entreprises habituées à surveiller les systèmes de construction pour détecter les abus de la chaîne d’approvisionnement pourraient complètement rater cette classe d’attaque, car elle cible les plates-formes d’automatisation déjà profondément ancrées dans les flux de travail de l’entreprise. L’activité fait suite à une divulgation de vulnérabilité n8n de gravité maximale (CVE-2026-21858), bien que les chercheurs n’aient établi aucun lien entre les incidents.
Comment se déroule l’attaque
L’attaque commence par la publication d’un package npm malveillant dans le registre public. Ces packages se présentent comme des nœuds de communauté, les extensions que les utilisateurs de n8n peuvent installer pour étendre les capacités d’automatisation. Une fois installé, le nœud malveillant se comporte comme n’importe quelle autre intégration, présentant des écrans de configuration et collectant les informations d’identification requises pour les tâches de flux de travail typiques.
Cependant, en coulisses, il exécute du code qui décrypte les jetons OAuth et les clés API stockés dans le magasin d’informations d’identification de n8n et les exfiltre vers des serveurs de commande et de contrôle (C2) distants contrôlés par les attaquants.
L’approche réussit car n8n traite tous les nœuds installés comme du code fiable. Il n’y a pas d’examen préalable à la publication sur npm et les nœuds installés s’exécutent avec un accès complet à l’environnement de flux de travail. Cela signifie que les nœuds peuvent lire les informations d’identification déchiffrées, effectuer des requêtes réseau arbitraires et interagir avec le système hôte comme le font les nœuds légitimes.
« Selon les chercheurs en sécurité de la société de sécurité des données Cyera, plus de 100 000 serveurs n8n étaient vulnérables au CVE-2026-21858 », ont déclaré les chercheurs d’Endor dans le message. « Nous ne savons pas combien d’entre eux installent des packages npm en tant que nœuds communautaires dans leurs environnements. Pourtant, ce nombre montre que l’écosystème n8n est actif et prospère. »
Conseils pour réduire les risques
Les plates-formes d’automatisation des flux de travail telles que n8n sont largement adoptées pour leur capacité à permettre aux équipes de relier des systèmes disparates sans coder manuellement chaque intégration. Mais l’écosystème des nœuds communautaires dépend des packages npm et hérite donc des risques associés.
Pour atténuer l’exposition, les chercheurs d’Endor Labs ont recommandé des mesures telles que la préférence pour les intégrations intégrées aux nœuds de communauté, l’audit des métadonnées du package et du code source avant l’installation, la surveillance de l’activité réseau sortante à partir des hôtes d’automatisation et l’utilisation de comptes de service isolés avec des privilèges limités dans la mesure du possible. Endor Labs a publié une liste d’indicateurs de compromission (IOC), notamment les noms de packages, l’infrastructure C2 et les fichiers malveillants, pour soutenir les efforts de détection. « Même si les packages malveillants que nous connaissons ont été désactivés au cours des dernières heures, les attaques pourraient continuer et évoluer à l’avenir », a noté Plate.
