Typosquatting npm

Définition

Le Typosquatting npm est une technique d'attaque de supply chain dans laquelle un acteur malveillant publie des packages sur le registre npm (Node Package Manager) avec des noms similaires à des packages légitimes populaires — capitalisant sur les fautes de frappe courantes des développeurs pour faire installer du code malveillant à la place du package légitime. Cette attaque est l'une des formes les plus courantes de supply chain attack ciblant l'écosystème JavaScript/Node.js. Les patterns de typosquatting npm les plus courants incluent : l'inversion de lettres adjacentes (lodahs pour lodash, expres pour express), l'ajout ou la suppression de caractères (colours pour colors, crypto-random-string pour crypto-random), l'utilisation de séparateurs différents (cross-env vs crossenv), l'ajout de préfixes ou suffixes courants (react-router-native vs react-router, socket.io-client vs socket-io-client), et les homophones ou homoglyphes (1etter vs letter avec un "1" à la place du "l"). Les conséquences d'un typosquatting réussi peuvent être sévères. Les packages malveillants ont été utilisés pour : exfiltrer les variables d'environnement (incluant les tokens AWS, les clés API, les mots de passe) via des requêtes HTTP sortantes lors de npm install, installer des cryptomineurs, créer des backdoors dans les applications, et voler les credentials développeurs (tokens npm, clés SSH) depuis le système local. La protection contre le typosquatting npm nécessite plusieurs couches. Les outils SCA (Snyk, npm audit, Renovate) maintiennent des bases de données de packages malveillants connus et alertent lors de leur détection. Des outils spécialisés comme confusion-checker et npm-package-name-checker vérifient si un package est similaire à un package populaire. La validation de l'intégrité des packages (npm s'appuie sur des signatures Sigstore pour les packages récents), la vérification du nombre de téléchargements et la date de création d'un package inconnu (packages très récents avec peu de téléchargements sont suspects) sont des heuristiques utiles. Au niveau organisationnel, l'utilisation d'un registre npm interne (Nexus, Artifactory) avec proxy vers npm public et allowlist des packages autorisés est la protection la plus robuste contre le typosquatting.