PhantomRaven : Campagne npm Cible les Secrets CI/CD

Une campagne active baptisée PhantomRaven diffuse des dizaines de packages npm malveillants dans le registre officiel de Node.js, spécifiquement conçus pour dérober des tokens GitHub, des secrets CI/CD et des credentials d'accès aux pipelines de déploiement. La technique employée est le typosquatting : les packages imitent des dépendances légitimes populaires avec des noms quasi-identiques, exploitant les erreurs de frappe des développeurs lors de l'installation. Une fois installé, le package exfiltre silencieusement les variables d'environnement du système, les fichiers de configuration Git, les tokens OAuth et les credentials stockés localement. Cette campagne s'inscrit dans la continuité de l'attaque sur Trivy via GitHub Actions que nous avons documentée récemment, et confirme que les pipelines CI/CD et les postes développeurs sont devenus la cible prioritaire des attaquants cherchant à compromettre des chaînes logicielles entières en une seule frappe. Le danger est particulièrement élevé dans les organisations où les secrets CI/CD donnent accès aux environnements de production, un risque que nous avons analysé en détail dans notre article sur les angles morts de la sécurité DevOps. Les campagnes de type APT utilisent aussi ce vecteur — voir notre analyse sur APT41 et le ciblage des chaînes de développement.

Modus operandi de la campagne PhantomRaven

Les chercheurs en sécurité ont identifié la campagne PhantomRaven en analysant des packages npm publiés entre fin février et mi-mars 2026. Les packages malveillants utilisent trois techniques principales de distribution : le typosquatting (noms quasi-identiques à des packages populaires), le brandjacking (imitation de packages d'entreprises connues) et l'injection dans des dépôts forkés sur GitHub. Une fois installé dans le contexte d'un projet Node.js, le code malveillant s'exécute lors de la phase postinstall — une étape automatique déclenchée par npm install — pour collecter et exfiltrer les données sensibles. Les cibles incluent les fichiers ~/.npmrc (tokens npm), ~/.gitconfig, les variables d'environnement contenant des patterns comme TOKEN, SECRET, API_KEY, AWS_, et les fichiers .env du projet courant. Les données exfiltrées sont envoyées vers des domaines de command-and-control enregistrés spécifiquement pour cette campagne. Pour comprendre l'ampleur du risque supply chain sur vos pipelines, consultez notre analyse approfondie sur la sécurité CI/CD et notre guide de pentest pour identifier les failles d'infrastructure.

Impact réel pour les équipes de développement

Un token GitHub compromis peut donner accès à l'ensemble des repositories de l'organisation, aux GitHub Actions secrets, aux packages privés et aux environnements cloud intégrés. Un secret CI/CD volé peut permettre à l'attaquant de modifier le code source, d'injecter des backdoors dans les builds et de compromettre les artefacts publiés — touchant potentiellement tous les utilisateurs du logiciel. Cette technique de pivot par la supply chain est particulièrement redoutable parce qu'elle contourne les défenses périmètriques classiques : l'attaquant n'a pas besoin de percer un pare-feu, il attend qu'un développeur fasse une faute de frappe. Les organisations utilisant des monorepos avec des dizaines de dépendances npm sont particulièrement exposées. Les outils recommandés pour se protéger incluent npm audit et les solutions de SCA comme Snyk. Pour comprendre comment les développeurs sont devenus une cible primaire, consultez notre article sur les campagnes APT ciblant les développeurs.

Recommandations immédiates

• Auditer les packages récents : vérifiez tous les packages npm installés depuis le 1er février 2026 dans vos projets et pipelines CI/CD
• Révoquer et renouveler les tokens GitHub, npm, AWS et autres secrets potentiellement exposés via les environnements de build
• Activer npm provenance et la vérification de l'intégrité des packages (npm audit signatures)
• Lockfile strict : committez votre package-lock.json et interdire les installations sans lockfile en CI/CD
• Restreindre les permissions des scripts postinstall en environnement CI/CD — utiliser --ignore-scripts pour les packages de confiance inconnue
• Monitorer les alertes de GitHub Security et Snyk sur les nouveaux packages malveillants détectés dans vos dépendances

Intégrer la sécurité supply chain dans votre programme de sécurité

Les attaques de type supply chain sur npm ne sont pas des incidents isolés — elles font partie d'une tendance de fond qui nécessite une réponse programmatique et non uniquement réactive. Intégrer la sécurité des dépendances open source dans votre programme de sécurité signifie : inclure les audits de dépendances dans vos cycles de revue de code, définir des politiques d'approbation pour les nouveaux packages introduits dans les projets, et intégrer des outils de SCA (Software Composition Analysis) dans vos pipelines CI/CD comme étape bloquante. Sur le plan de la gouvernance, les organisations qui ont un niveau de maturité suffisant mettent en place un inventaire des dépendances open source (Software Bill of Materials / SBOM) qui permet de détecter rapidement si un package compromis est utilisé quelque part dans leur patrimoine applicatif. Consultez notre guide de sécurisation des accès d'entreprise pour comprendre comment intégrer ces contrôles dans votre politique de sécurité globale, et notre article sur l'automatisation des audits de sécurité pour voir comment industrialiser ces vérifications.