Les chercheurs d’Endor Labs ont découvert 88 nouveaux packages liés aux nouvelles vagues de la campagne, qui utilise des dépendances dynamiques à distance pour diffuser des logiciels malveillants volant des informations d’identification.
La campagne de chaîne d’approvisionnement « PhantomRaven » de l’année dernière est de retour, avec des chercheurs en sécurité découvrant 88 nouveaux packages malveillants dans ce qu’ils décrivent comme les deuxième, troisième et quatrième vagues de l’opération.
Selon les conclusions d’Endor Labs, les packages nouvellement découverts ont été publiés entre novembre 2025 et février 2026, avec 81 d’entre eux toujours disponibles sur npm ainsi que deux serveurs de commande et de contrôle (c2) actifs.
« PhantomRaven est une attaque de chaîne d’approvisionnement logicielle qui utilise les dépendances dynamiques à distance (RDD) pour masquer les logiciels malveillants volant des informations d’identification dans des dépendances hors registre qui contournent l’analyse de sécurité standard », ont déclaré les chercheurs dans un article de blog. « La première vague, affectant plus de 126 packages avec plus de 86 000 téléchargements, a été décrite pour la première fois par Koi Security en octobre 2025. »
L’évolution de la campagne a été suivie en corrélant les indicateurs d’infrastructure, les similitudes de code et les modèles opérationnels des attaquants, note le blog. Cependant, dans une mise à jour du blog, Endor Labs a déclaré que les colis feraient partie d’une expérience de recherche légitime, une affirmation qu’il conteste, citant des irrégularités opérationnelles.
L’astuce de dépendance cache le malware
RDD permet à du code malveillant d’être diffusé en dehors du package lui-même. Au lieu d’intégrer le malware directement dans le package npm, les attaquants spécifient une dépendance URL HTTP dans le fichier « package.json » du package.
Lorsqu’un développeur exécute « npm install », npm récupère automatiquement la dépendance du serveur contrôlé par l’attaquant. Le package hébergé sur npm semble inoffensif, ne contenant souvent guère plus qu’un script de base, tandis que la charge utile malveillante réelle est téléchargée en parallèle pendant le processus d’installation.
Une fois exécuté, le malware rassemble une série d’informations sensibles provenant de l’environnement du développeur. Cela inclut les adresses e-mail, les détails du système et les informations d’identification des plateformes CI/CD telles que GitHub Actions, GitLab CI, Jenkins et CircleCI.
Les données volées sont ensuite transmises aux serveurs contrôlés par les attaquants à l’aide de plusieurs techniques redondantes, notamment HTTP GET, les requêtes POST et même les connexions WebSocket, garantissant ainsi l’exfiltration dans différents environnements réseau. Étant donné que le code malveillant n’apparaît jamais directement dans le package npm lui-même, les outils d’analyse traditionnels axés sur le contenu du package ne parviennent pas à le signaler.
Les modèles opérationnels remettent en question l’affirmation d’une « expérience de recherche »
Malgré les nouvelles vagues, les fonctionnalités principales de PhantomRaven sont restées largement inchangées, ont indiqué les chercheurs. Ils ont constaté que 257 des 259 lignes de la charge utile du malware sont identiques dans toutes les vagues, la seule modification significative étant le domaine de commande et de contrôle utilisé pour recevoir les données volées.
Au lieu de cela, l’attaquant s’est concentré sur les changements opérationnels destinés à garder une longueur d’avance sur les éliminations. Il s’agit notamment de la rotation des comptes npm, de la modification des descriptions et des métadonnées des packages et de l’enregistrement de nouveaux domaines avec des modèles de dénomination similaires tels que « storeartifact », « jpartifacts » et « artifactsnpm ».
De plus, la campagne a utilisé Slopsquatting pour publier des packages imitant les plugins Babel, les outils GraphQL, les préréglages ESLint et d’autres utilitaires de développement largement utilisés.
Le billet de blog d’Endor Labs a ensuite été mis à jour pour refléter les affirmations selon lesquelles les packages faisaient partie d’une expérience de recherche légitime destinée à étudier la détection des packages malveillants. « Il semblerait que les packages aient été produits par un chercheur en sécurité connu dans la communauté », indique la mise à jour. « Cependant, plusieurs caractéristiques soutiennent fortement la classification de ces packages comme logiciels malveillants plutôt que comme artefacts de recherche légitimes. »
L’affirmation d’Endor Labs concernant cette affirmation incluait la présence de serveurs de commande et de contrôle actifs, de routines de collecte d’informations d’identification ciblant les environnements de développement et de mécanismes actifs d’exfiltration de données. « De plus, les packages ne fournissent aucune indication qu’ils font partie d’une expérience de recherche – ni dans un README ni via des messages de console ou des métadonnées de package – laissant les utilisateurs concernés sans aucune transparence », ont déclaré les chercheurs.
