L’écosystème npm, pilier du développement JavaScript, vient une nouvelle fois d’être ébranlé par une cyberattaque d’envergure. Baptisée Miasma, cette offensive sophistiquée a ciblé directement les dépôts officiels de Red Hat, exploitant une faille dans la chaîne d’approvisionnement logicielle. Découverte le 1er juin 2026, cette attaque a compromis 32 packages npm, exposant potentiellement près de 117 000 téléchargements hebdomadaires. Une menace qui rappelle les risques croissants liés à la dépendance aux bibliothèques tierces, surtout lorsqu’elles proviennent de géants comme Red Hat.
Cette intrusion ne se contente pas de reproduire des schémas connus. Elle s’inscrit dans la continuité de Mini Shai-Hulud, une attaque précédente menée par le groupe TeamPCP, et pousse la sophistication à un niveau inédit. En s’attaquant à des composants utilisés dans la console cloud hybride de Red Hat, les pirates ont démontré une capacité à infiltrer des infrastructures critiques, soulevant des questions sur la sécurité des outils open source.
Comprendre les attaques par chaîne d’approvisionnement npm
Pour saisir l’ampleur de miasma, il est essentiel de revenir sur les mécanismes des attaques par chaîne d’approvisionnement dans l’écosystème npm. Node Package Manager (npm) est le plus grand registre de bibliothèques JavaScript au monde. Les développeurs y puisent des milliers de modules prêts à l’emploi pour accélérer leurs projets, évitant ainsi de réinventer la roue. Une simple commande npm install suffit à intégrer ces composants dans une application.
Cependant, cette praticité a un revers. Les attaquants exploitent la confiance accordée à ces packages pour y glisser du code malveillant. Une fois installé, ce code s’exécute discrètement, souvent sans que le développeur ne s’en aperçoive. Les conséquences peuvent être désastreuses : vol de données, prise de contrôle de systèmes ou propagation de logiciels malveillants à grande échelle.
Miasma se distingue par sa cible. Contrairement aux attaques précédentes qui visaient des projets marginaux ou abandonnés, celle-ci a directement touché le compte officiel @redhat-cloud-services. Red Hat, racheté par IBM en 2019 pour 34 milliards de dollars, est un acteur majeur du cloud et de Linux en entreprise. Ses packages npm sont utilisés par des millions de développeurs, ce qui en fait une cible de choix pour les cybercriminels.
Déroulement de l’attaque : une journée sous haute tension
L’offensive Miasma s’est déroulée en plusieurs vagues, révélant une planification méticuleuse et une réactivité inquiétante de la part des attaquants. Voici une chronologie détaillée des événements du 1er juin 2026, reconstituée grâce aux analyses de Wiz Research, Snyk, Orca Security et Phoenix Security.
Les prémices : une compromission en amont
Dès le 13 avril et le 15 mai 2026, la société Whiteintel détecte des traces d’un identifiant et d’un cookie de session Red Hat dans des logs d’infostealers sur le dark web. Ces éléments indiquent qu’un compte employé de Red Hat a été compromis bien avant l’attaque. Une faille qui servira de point d’entrée pour les pirates.
Le 29 mai, OX Security repère les premiers commits contenant la mention « Miasma: The Spreading Blight ». Une phase de test ou de préparation, selon les experts, qui précède l’offensive principale.
La première vague : infiltration silencieuse
Le 1er juin à 10h54 UTC, les attaquants passent à l’action. Ils publient des versions malveillantes de packages npm sous le compte `@redhat-cloud-services`, en exploitant des jetons OIDC volés dans le pipeline CI/CD de Red Hat. Ces jetons, utilisés pour l’authentification, leur permettent de contourner les mesures de sécurité et de publier du code sans éveiller les soupçons.
Moins d’une heure plus tard, vers 11h30, les plateformes Socket et Aikido signalent les premières versions corrompues. Une réaction rapide, mais insuffisante pour empêcher la propagation.
La riposte des attaquants : une course contre la montre
À 13h00 UTC, l’alerte est donnée publiquement. npm révoque la majorité des versions malveillantes, mais deux d’entre elles restent actives. Les pirates ne restent pas inactifs. À 13h45, une deuxième vague de commits malveillants est lancée, prouvant leur détermination à maintenir l’accès malgré les mesures de sécurité.
Vers 14h00, Wiz publie une analyse approfondie de l’attaque, identifiant la compromission du compte employé et l’exploitation des jetons OIDC comme causes racines. À 14h23, une troisième vague est détectée, confirmant que les attaquants adaptent leur stratégie en temps réel.
Les techniques utilisées : une attaque en trois actes
Miasma ne se contente pas d’exploiter des failles techniques. Elle combine plusieurs méthodes pour maximiser son impact et échapper aux détections.
Compromission initiale : le maillon faible humain
L’attaque débute par la compromission d’un compte employé de Red Hat. Les infostealers, des logiciels malveillants conçus pour voler des identifiants, ont permis aux pirates d’obtenir un accès privilégié. Une fois en possession des jetons OIDC, ils ont pu s’infiltrer dans le pipeline CI/CD de l’entreprise, un système automatisé utilisé pour tester et déployer le code.
Exploitation des hooks npm : l’art de la discrétion
Les attaquants ont ciblé les scripts de pré-installation des packages npm. Ces scripts, exécutés automatiquement lors de l’installation d’un package, sont souvent utilisés pour configurer l’environnement. En y insérant du code malveillant, les pirates ont pu déclencher des actions indésirables dès qu’un développeur lançait `npm install`.
Persistance et adaptation : une menace évolutive
Contrairement à des attaques plus basiques, Miasma a démontré une capacité à s’adapter. Après la révocation des premières versions malveillantes, les pirates ont rapidement publié de nouveaux commits, prouvant qu’ils surveillaient les réactions des équipes de sécurité. Cette persistance rend l’attaque particulièrement dangereuse, car elle prolonge la fenêtre d’exposition.
Les conséquences : un écosystème sous tension
L’attaque Miasma a mis en lumière plusieurs vulnérabilités critiques dans l’écosystème npm et au-delà.
Un impact potentiellement massif
Avec 116 991 téléchargements hebdomadaires exposés, les conséquences de cette attaque pourraient être considérables. Les entreprises utilisant les packages compromis risquent d’avoir intégré du code malveillant dans leurs applications, ouvrant la porte à des fuites de données ou à des prises de contrôle de systèmes.
Une remise en question de la sécurité open source
Red Hat est une entreprise réputée pour son expertise en cybersécurité. Si même ses dépôts peuvent être compromis, cela soulève des questions sur la sécurité des autres projets open source. Les développeurs doivent désormais redoubler de vigilance, même lorsqu’ils utilisent des bibliothèques provenant de sources fiables.
Une tendance inquiétante
Miasma s’inscrit dans une série d’attaques de plus en plus sophistiquées contre les chaînes d’approvisionnement logicielles. Avec la démocratisation des outils nécessaires pour mener ce type d’offensives, les experts craignent une multiplication des attaques similaires. Une tendance qui pourrait ébranler la confiance dans l’écosystème open source.
FAQ
Qu’est-ce qu’une attaque par chaîne d’approvisionnement npm ?
Il s’agit d’une cyberattaque où des pirates insèrent du code malveillant dans des packages npm légitimes. Lorsqu’un développeur installe ces packages, le code malveillant s’exécute à son insu, compromettant son système ou ses données.
Pourquoi Red Hat a-t-il été ciblé ?
Red Hat est un acteur majeur du cloud et de Linux en entreprise. Ses packages npm sont largement utilisés, ce qui en fait une cible de choix pour maximiser l’impact d’une attaque.
Comment se protéger contre ce type d’attaque ?
Les développeurs doivent vérifier les packages avant de les installer, utiliser des outils de détection de vulnérabilités et limiter les permissions des comptes employés. Les entreprises doivent aussi renforcer la sécurité de leurs pipelines CI/CD.
Quels sont les signes d’un package npm compromis ?
Des comportements inhabituels après l’installation, comme des connexions réseau suspectes ou des modifications de fichiers, peuvent indiquer la présence de code malveillant. Les outils de sécurité comme Socket ou Aikido aident à détecter ces anomalies.
Conclusion
L’attaque Miasma marque un tournant dans la cybersécurité des chaînes d’approvisionnement logicielles. En ciblant directement les dépôts officiels de Red Hat, les pirates ont démontré une capacité à infiltrer des infrastructures critiques, exploitant à la fois des failles techniques et humaines. Avec près de 117 000 téléchargements potentiellement exposés, les conséquences de cette offensive pourraient être durables.
Cette attaque rappelle l’importance de la vigilance dans un écosystème où la confiance est souvent accordée par défaut. Les développeurs et les entreprises doivent adopter des pratiques de sécurité renforcées, comme la vérification systématique des packages ou l’utilisation d’outils de détection de vulnérabilités. À l’ère où les attaques par chaîne d’approvisionnement se multiplient, la sécurité ne peut plus être une option, mais une priorité absolue.
