- Des chercheurs en cybersécurité ont révélé un ensemble de sept packages npm publiés par un même acteur malveillant, utilisant un service de masquage appelé Adspect.
- Adspect vise à promouvoir un service cloud conçu pour protéger les campagnes publicitaires contre le trafic indésirable, y compris la fraude au clic et les bots provenant d'entreprises de sécurité antivirus.
- Six packages npm contiennent un malware de 39 Ko qui se dissimule et effectue une copie de l'empreinte du système.
Des chercheurs en cybersécurité ont révélé un ensemble de sept packages npm publiés par un seul acteur malveillant. Ces packages utilisent un service de masquage appelé Adspect pour distinguer les vraies victimes des chercheurs en sécurité, les redirigeant finalement vers des sites crypto douteux.
Les packages npm malveillants ont été publiés par un acteur malveillant nommé « dino_reborn » entre septembre et novembre 2025. Les packages incluent signals-embed (342 téléchargements), dsidospsodlks (184 téléchargements), applicationooks21 (340 téléchargements), application-phskck (199 téléchargements), integrator-filescrypt2025 (199 téléchargements), integrator-2829 (276 téléchargements) et integrator-2830 (290 téléchargements).
Adspect se présente comme un service basé sur le cloud qui protège les campagnes publicitaires
Selon son site web, Adspect annonce un service basé sur le cloud conçu pour protéger les campagnes publicitaires contre le trafic indésirable, y compris la fraude au clic et les robots des entreprises de logiciels antivirus. Il prétend également offrir un « cloaking invulnérable » et qu'il « masque de manière fiable chaque et chaque plateforme publicitaire ».
Il propose trois plans : Ant-Fraud, Personal et Professional, qui coûtent 299 $, 499 $ et 999 $ par mois. L'entreprise prétend également que les utilisateurs peuvent faire de la publicité pour « tout ce qu'ils veulent », ajoutant qu'elle suit une politique sans questions : « Nous ne nous soucions pas de ce que vous lancez et n'imposons aucune règle de contenu. »
La chercheuse en sécurité Socket, Olivia Brown, a déclaré, « En visitant un faux site web construit par l'un des packages, l'acteur malveillant détermine si le visiteur est une victime ou un chercheur en sécurité […] Si le visiteur est une victime, il voit un faux CAPTCHA, ce qui le conduit finalement à un site malveillant. S'il s'agit d'un chercheur en sécurité, quelques indices sur le faux site web pourraient lui indiquer qu'il se passe quelque chose de néfaste. »
La capacité d'AdSpect à bloquer les actions des chercheurs dans son navigateur web
Parmi ces packages, six contiennent un morceau de logiciel malveillant de 39 Ko qui se cache et fait une copie de l'empreinte numérique du système. Il tente également d'échapper à l'analyse en bloquant les actions du développeur dans un navigateur web, ce qui empêche les chercheurs de voir le code source ou de lancer les outils de développement.
Les packages exploitent une fonctionnalité JavaScript appelée « Immediately Invoked Function Expression (IIFE) ». Elle permet l'exécution immédiate du code malveillant dès son chargement dans le navigateur web.
Cependant, « signals-embed » ne possède aucune fonctionnalité malveillante explicite et est conçu pour construire une page blanche leurre. Les informations capturées sont ensuite envoyées à un proxy (« association-google[.]xyz/adspect-proxy[.]php ») pour déterminer si la source du trafic provient d'une victime ou d'un chercheur, puis servir un faux CAPTCHA.
Après que la victime a cliqué sur la case à cocher du CAPTCHA, elle est redirigée vers une page frauduleuse liée à la cryptomonnaie qui imite des services comme StandX, avec pour objectif probable de voler les actifs numériques. Cependant, si les visiteurs sont identifiés comme des chercheurs potentiels, une fausse page blanche est affichée. Elle comprend également du code HTML lié à l'affichage de la politique de confidentialité associée à une fausse entreprise nommée Offlido.
Ce rapport coïncide avec le rapport d'Amazon Web Services. Il indiquait que son équipe Amazon Inspector avait identifié et signalé plus de 150 000 packages liés à une campagne coordonnée de farming de jetons TEA sur le registre npm, qui trouve son origine dans une vague initiale détectée en avril 2024.
« Il s'agit de l'une des plus grandes incidents de submersion de packages dans l'histoire des registres open source, et représente un moment charnière pour la sécurité de la chaîne d'approvisionnement, » ont déclaré les chercheurs Chi Tran et Charlie Bacon. « Les acteurs malveillants génèrent et publient automatiquement des packages pour gagner des récompenses en cryptomonnaie sans la conscience des utilisateurs, révélant comment la campagne s'est développée de manière exponentielle depuis son identification initiale. »
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
