IronWorm infecte 36 paquets npm et vole clés AWS et OpenAI

Une chaîne d'approvisionnement npm ciblant les identifiants cloud

Le 4 juin 2026, des chercheurs de la société JFrog, spécialisée dans la sécurité de la chaîne d'approvisionnement logicielle, ont publié une analyse détaillée d'une nouvelle campagne malveillante baptisée IronWorm. Cette attaque a compromis 36 paquets sur le registre npm, le plus grand gestionnaire de paquets JavaScript au monde, avec pour objectif principal le vol de secrets liés aux environnements cloud et de développement. Contrairement aux attaques de supply chain classiques, IronWorm se distingue par une mécanique d'auto-propagation sophistiquée lui permettant d'étendre sa portée de manière autonome, sans nécessiter d'intervention supplémentaire de l'attaquant une fois le premier vecteur compromis.

L'attaque a démarré depuis un compte compromis répondant au nom d'utilisateur « asteroiddao », qui a publié des versions modifiées de paquets npm légitimes intégrant un binaire ELF écrit en Rust. Ce binaire est déclenché automatiquement via le hook « preinstall » de npm, un mécanisme qui s'exécute dès l'installation d'un paquet, y compris dans les pipelines CI/CD automatisés. Dans un environnement d'intégration continue standard, cela signifie que le malware peut s'activer sans supervision humaine directe, profitant de la confiance implicite accordée aux gestionnaires de paquets dans les workflows de build modernes.

Techniquement, IronWorm combine plusieurs caractéristiques qui le distinguent des infostealers npm précédents. Il est entièrement écrit en Rust, langage de plus en plus adopté par les acteurs malveillants pour sa robustesse et sa capacité à contourner les analyses basées sur des signatures de bytecode Java ou Python. Le malware se dissimule ensuite derrière un rootkit noyau eBPF — une technologie initialement conçue pour l'observabilité des systèmes Linux, ici détournée pour masquer ses processus et connexions réseau au niveau du noyau. Toutes ses communications avec l'infrastructure de commande et de contrôle (C2) transitent par le réseau Tor, rendant le blocage des serveurs de l'attaquant particulièrement difficile pour les équipes de réponse à incident.

Le périmètre de données visées est particulièrement alarmant pour les entreprises cloud-native. IronWorm est configuré pour exfiltrer le contenu de 86 variables d'environnement et de 20 fichiers de configuration. Parmi les cibles explicitement documentées par JFrog figurent les clés d'accès AWS, les tokens API d'OpenAI et d'Anthropic, les credentials de publication npm incluant les secrets liés au workflow « Trusted Publishing », les fichiers de configuration HashiCorp Vault, les clés SSH privées et les fichiers de portefeuilles crypto Exodus. Pour une équipe de développement utilisant un pipeline CI/CD standard, la compromission de ces éléments peut ouvrir la voie à des accès non autorisés à des infrastructures cloud entières, à des exfiltrations de code source propriétaire ou à des dépenses cloud frauduleuses massives.

Le mécanisme d'auto-propagation distingue fondamentalement IronWorm de la majorité des infostealers npm. Une fois installé dans un environnement de développement ou un runner CI/CD, le malware utilise les credentials npm volés — notamment les secrets Trusted Publishing — pour publier des versions trojanisées des paquets dont est propriétaire la victime sur le registre npm. Cette capacité de type « worm » lui permet de compromettre de nouveaux développeurs sans action supplémentaire de l'attaquant : chaque victime devient potentiellement un nouveau vecteur de propagation vers ses dépendants en aval, créant un effet de cascade particulièrement difficile à stopper une fois enclenché.

La détection précoce par la société Ox Security a permis de contenir la propagation avant que des paquets à forte popularité ne soient atteints. Selon leurs analyses, les 36 paquets compromis étaient majoritairement des projets à faible audience. Ox Security a publié la liste complète des paquets et versions affectés, recommandant aux équipes de procéder immédiatement aux mises à niveau vers les versions corrigées, d'effectuer une rotation complète des secrets présents dans les variables d'environnement de leurs runners CI/CD, et d'activer la double authentification sur tous les comptes de publication npm pour prévenir toute compromission ultérieure.

Cette attaque s'inscrit dans une tendance lourde d'intensification des attaques de supply chain visant les registres de paquets open source. En 2025 et 2026, npm, PyPI et d'autres registres ont été régulièrement ciblés par des campagnes similaires, certaines directement attribuées à des groupes APT nord-coréens comme Lazarus ou Moonstone Sleet, qui utilisent ces vecteurs pour cibler les développeurs et les entreprises tech. Si aucune attribution formelle n'a encore été publiée pour IronWorm, le niveau de sophistication technique — combinaison Rust, rootkit eBPF et infrastructure Tor — indique des ressources et une expertise allant au-delà des groupes cybercriminels opportunistes classiques.

Pour les équipes de sécurité, cet incident soulève à nouveau la question de la gouvernance des dépendances open source. La surface d'attaque liée aux paquets tiers reste difficile à maîtriser à grande échelle, notamment dans les entreprises où des centaines de pipelines CI/CD consomment automatiquement des dépendances npm. Des mesures comme le software bill of materials (SBOM), le pinning de dépendances par hash cryptographique et l'utilisation de registres privés avec validation manuelle des mises à jour constituent des défenses complémentaires incontournables pour réduire l'exposition à ce type d'attaque.

Pourquoi IronWorm représente une menace systémique pour les équipes DevOps

La supply chain logicielle est devenue l'un des vecteurs d'attaque les plus prisés des groupes avancés pour une raison simple : compromettre un seul paquet populaire peut potentiellement infecter des milliers d'environnements en quelques heures. L'incident SolarWinds en 2020 a mis en lumière l'ampleur des dégâts qu'une attaque de ce type pouvait causer sur des infrastructures critiques, et depuis, la fréquence des campagnes visant npm et PyPI n'a cessé d'augmenter. IronWorm illustre que malgré les efforts des plateformes pour renforcer leurs mécanismes de détection automatisée, des attaques sophistiquées parviennent encore à s'introduire dans les registres publics avant d'être détectées.

Ce qui rend IronWorm particulièrement préoccupant pour les RSSI, c'est la combinaison de l'auto-propagation avec le ciblage précis des credentials cloud. Un développeur dont les clés AWS sont volées peut se retrouver confronté à une facture cloud massive en quelques heures, à une exfiltration de données de production ou à une utilisation de son infrastructure à des fins de minage de cryptomonnaies. Les tokens OpenAI ou Anthropic compromis peuvent être revendus sur des marchés souterrains ou utilisés pour générer du contenu malveillant aux frais de la victime, représentant un préjudice financier direct et immédiat difficile à récupérer.

La présence du rootkit eBPF dans le toolkit IronWorm est un signal d'alarme sérieux pour les équipes de réponse à incident. Un rootkit eBPF peut masquer des fichiers, processus et connexions réseau au niveau du noyau, rendant la détection par les outils EDR classiques considérablement plus difficile. Cette technique, longtemps réservée aux chercheurs en sécurité offensive et aux red teams avancées, fait désormais son apparition dans des campagnes malveillantes réelles ciblant les environnements de développement, signe d'une montée en gamme notable des attaquants de la supply chain.

Sur le plan réglementaire, le Cyber Resilience Act européen, entré progressivement en vigueur depuis 2025, impose des obligations de sécurité aux éditeurs de logiciels distribuant des composants à titre commercial, y compris ceux basés sur des dépendances open source. Aux États-Unis, les exigences fédérales imposent la fourniture de SBOM pour les fournisseurs de l'administration. IronWorm illustre exactement la catégorie de risques que ces réglementations cherchent à adresser, et un incident de ce type peut engager la responsabilité des éditeurs n'ayant pas mis en place les contrôles requis.

Ce qu'il faut retenir

• IronWorm est un malware Rust équipé d'un rootkit eBPF qui a infecté 36 paquets npm, ciblant spécifiquement les credentials cloud (AWS, OpenAI, Anthropic) et les clés SSH des développeurs.
• Son mécanisme d'auto-propagation via les credentials npm volés (Trusted Publishing) lui permet de compromettre de nouveaux développeurs sans action supplémentaire de l'attaquant.
• Action immédiate : mettre à jour tous les paquets affectés, effectuer une rotation complète des secrets dans les pipelines CI/CD, et activer la 2FA sur tous les comptes de publication npm.