Contenir la propagation d’un ver npm entre postes de développement et comptes de publication

Ce que c'est

État au 25 octobre 2026. Cette démarche de confinement s’appuie sur le rapport ChainDrop de Microsoft daté du 4 août 2026 et sur l’avis des mainteneurs de Tensorlake publié le 8 octobre 2026, dans les versions consultées pour cette analyse. Les consulter à nouveau pour obtenir les listes de paquets, les indicateurs de persistance et les consignes de récupération révisés ; le nombre de paquets est celui observé dans le rapport, pas un inventaire actuel exhaustif.

Microsoft signale plus de 400 paquets npm touchés. Du code exécuté à l’installation volait des identifiants et utilisait les accès de publication pour se propager à d’autres paquets. Tensorlake confirme séparément la publication non autorisée de la version npm 0.5.144, y compris les paquets natifs énumérés dans son avis. Sa version de référence pour la récupération est 0.5.143 ; il s’agit d’un retour à une version antérieure, pas d’une nouvelle version corrigée.

Pourquoi c'est important

Microsoft décrit une exposition qui s’étend des postes de développement aux identifiants CI, aux dépôts et aux artefacts produits par les builds touchés. Un utilisateur de dépendances disposant de droits de publication peut donc devenir un distributeur. Le périmètre de l’incident comprend les identités et les ressources accessibles depuis l’environnement d’installation, au-delà de la seule application ayant demandé la dépendance.

La réussite d’un build ne permet pas de déterminer si une publication était autorisée. Les personnes chargées de la vérification ont besoin d’éléments reliant l’artefact du paquet, la révision du code source, le workflow et l’approbation de publication. Toute modification inattendue de l’un de ces éléments doit déclencher une investigation.

Comment l'appliquer

• Suspendre les tâches d’installation et de publication concernées. Inventorier les versions exactes dans les fichiers de verrouillage, les enregistrements des registres, les caches et les journaux de build, y compris pour les dépendances transitives. Consigner les postes, les runners et les artefacts en aval qui les ont utilisés. Conserver les éléments de preuve avant de remplacer les environnements.
• Sur un runner sain, avec un fichier de verrouillage vérifié, utiliser npm ci --ignore-scripts. La documentation npm décrit ci comme une installation respectant le verrouillage et ignore-scripts comme une option qui empêche l’exécution des scripts des paquets. Vérifier le build obtenu avant d’adopter cette politique : les dépendances qui nécessitent des scripts d’installation peuvent demander un traitement examiné au cas par cas.
• Retirer les identifiants de publication des tâches d’installation de dépendances. Lorsque des paquets privés nécessitent une authentification, utiliser des jetons granulaires en lecture seule. Migrer les workflows de publication compatibles vers la publication de confiance, tester la transition, puis révoquer les anciens jetons d’écriture et restreindre la publication par jetons classiques. npm permet d’exiger une authentification à deux facteurs tout en interdisant ces jetons ; la publication OIDC reste disponible.
• Comparer les versions publiées dans les registres aux enregistrements de publication approuvés. Examiner les fichiers de workflow et les branches de dépôt inattendus, ainsi que les modifications inattendues de la configuration des outils de développement. Analyser les écarts inexpliqués, même si le paquet publié dispose d’une attestation de provenance ou n’a aucun commit source correspondant.
• Si la version malveillante de Tensorlake s’est exécutée, appliquer la précaution liée à la persistance avant de révoquer les identifiants : désactiver le composant gh-token-monitor selon la procédure de l’avis adaptée à la plateforme. Il peut détruire des données utilisateur lorsque le jeton GitHub surveillé est révoqué. Renouveler les identifiants depuis une machine saine et reconstruire les systèmes concernés.

Pièges

ignore-scripts ne neutralise pas le code malveillant exécuté à l’usage. Les commandes explicites telles que npm run exécutent toujours le script demandé. L’authentification à deux facteurs ne révoque pas les jetons volés, et le rétablissement d’une dépendance saine n’annule pas les publications non autorisées. Vérifier les accès aux comptes, l’état des dépôts et les éléments utilisés pour les nouveaux builds avant de rouvrir la publication.