Portefeuilles crypto ciblés dans l'attaque de chaîne d'approvisionnement npm liée à SAP

Quatre packages npm connectés au modèle de programmation d'applications cloud de SAP ont été volés. Les pirates ont ajouté du code qui vole les portefeuilles crypto, les identifiants cloud et les clés SSH des développeurs.

Selon un rapport de Socket, les versions de packages affectées incluent :

• [email protected].
• @cap-js/[email protected].
• @cap-js/[email protected].
• @cap-js/[email protected].

Ces packages réunis obtiennent environ 572 000 téléchargements par semaine de la communauté de développeurs SAP.

Les packages npm volent les identifiants cloud et les portefeuilles crypto

Les chercheurs en sécurité ont expliqué que les packages pirrés préinstallent un script qui télécharge et exécute un binaire d'exécution Bun depuis GitHub. Il exécute ensuite une charge utile JavaScript obscurcie de 11,7 Mo.

Les fichiers source SAP originaux sont toujours présents, mais il y a trois nouveaux fichiers supplémentaires :

• un package.json modifié.
• setup.mjs.
• execution.js.

Ces fichiers ont été horodatés quelques heures après le code réel. Cela montre que les tarballs ont été modifiés après avoir été téléchargés depuis une source réelle.

Socket a qualifié cela de « fort signal d'une campagne d'injection coordonnée et automatisée » car le script chargeur est byte-identique dans les quatre packages, bien qu'ils se trouvent dans deux espaces de noms différents.

Lorsque la charge utile s'exécute, elle vérifie si le système est configuré en russe et s'arrête si c'est le cas. Elle se branche ensuite en fonction de la présence d'un environnement CI/CD, en vérifiant 25 variables de plateforme, telles que GitHub Actions, CircleCI et Jenkins, ou un poste de travail de développeur.

Sur les ordinateurs des développeurs, le malware lit plus de 80 types différents de fichiers d'identifiants. Ceux-ci incluent les clés privées SSH, les identifiants AWS et Azure, les configurations Kubernetes, les jetons npm et Docker, les fichiers d'environnement et les portefeuilles crypto sur onze plateformes différentes. Il cible également les fichiers de configuration pour des outils d'IA comme les paramètres MCP de Claude et Kiro.

La charge utile possède deux couches de chiffrement. Une fonction appelée `__decodeScrambled()` utilise PBKDF2 avec 200 000 itérations SHA-256 et un sel appelé « ctf-scramble-v2 » pour obtenir les clés nécessaires pour déchiffrer quelque chose.

Le nom de la fonction, l'algorithme, le sel et le nombre d'itérations sont les mêmes que ceux des charges utiles précédentes de Checkmarx et Bitwarden. Cela suggère que les mêmes outils sont utilisés dans plusieurs campagnes.

Socket surveille l'activité sous le nom « TeamPCP » et a créé une page de suivi séparée pour ce qu'elle appelle la campagne « mini-shai-hulud ».

Les pirates ciblent de manière persistante les développeurs de cryptomonnaies

La compromission du package SAP est la plus récente d'une série d'attaques de la chaîne d'approvisionnement qui utilisent des gestionnaires de packages pour voler les identifiants d'actifs numériques.

Comme Cryptopolitan l'avait rapporté à l'époque, les chercheurs ont trouvé cinq packages npm typosquattés en mars 2026 qui ont volé des clés privées aux développeurs Solana et Ethereum et les ont envoyées à un bot Telegram.

ReversingLabs a découvert une campagne appelée PromptMink un mois plus tard. Dans cette campagne, un package malveillant appelé @validate-sdk/v2 a été ajouté à un projet de trading crypto open-source via un commit généré par l'IA.

La couverture de Cryptopolitan des résultats de ReversingLabs indique que l'attaque, liée au groupe parrainé par l'État nord-coréen Famous Chollima, visait spécifiquement les identifiants des portefeuilles crypto et les secrets système.

L'attaque SAP se distingue par son ampleur et sa direction. Au lieu de créer de faux packages avec des noms similaires à ceux de vrais packages, les attaquants se sont introduits dans de vrais packages largement utilisés qui sont maintenus sous le namespace de SAP.

Les chercheurs en sécurité recommandent que les équipes utilisant les pipelines de déploiement basés sur SAP CAP ou MTA vérifient immédiatement leurs fichiers lock pour les versions concernées.

Les développeurs qui ont installé ces packages pendant la fenêtre d'exposition doivent changer tous les identifiants et jetons qui auraient pu être accessibles dans leurs environnements de build et vérifier les journaux CI/CD pour toute demande réseau inattendue ou exécution de binaire.

Selon les chercheurs, au moins une version concernée, @cap-js/[email protected], semble avoir déjà été supprimée de npm.