SlowMist (慢霧) a publié, le 20 mai, sur X des informations relatives à une menace, confirmant que plusieurs versions de paquets npm à fort volume ainsi que plusieurs versions du SDK Python durabletask ont été victimes d’une attaque par attaque de chaîne d’approvisionnement impliquant « Mini Shai-Hulud（迷你沙蟲） ». SlowMist indique également que l’attaque par ransomware subie le 16 mai par Grafana Labs « est très probablement » liée à cette attaque de chaîne d’approvisionnement.
Chronologie de l’attaque et composants touchés
（來源：慢霧）
D’après la chronologie de l’attaque confirmée par les informations de menace de SlowMist :
19 mai 2026 : le compte npm atool (i@hust.cc) a été compromis ; l’attaquant a automatiquement publié, en 22 minutes, 317 paquets représentant 637 versions malveillantes, affectant des composants très utilisés dans l’écosystème npm tels que AntV et Echarts-for-react.
20 mai 2026 (heure de Pékin) 00:19 à 00:54 : l’attaquant a, pendant 35 minutes, téléversé en continu les versions durabletask 1.4.1 (00:19), 1.4.2 (00:49) et 1.4.3 (00:54), en contournant les contrôles de publication officiels de Microsoft et en se faisant passer pour une publication normale.
SlowMist confirme que, outre les npm et les paquets Python infectés, la cible des attaquants inclut aussi des identifiants et clés des développeurs (GitHub PAT, npm Token, clés AWS, Kubernetes Secret, Vault Token, clés SSH et plus de 90 types de fichiers sensibles locaux), ainsi que des dépôts de code internes potentiellement accessibles via des jetons divulgués.
Liens confirmés entre fuites de tokens GitHub et incident Grafana
SlowMist explique, dans ses informations de menace, les liens de deux incidents avec cette attaque de chaîne d’approvisionnement :
Fuite massive de tokens GitHub : SlowMist indique que « les preuves montrent que certains des tokens divulgués ont peut-être été utilisés pour accéder et possiblement revendre des dépôts de code officiels GitHub ». GitHub a confirmé officiellement que cette fuite serait due au fait qu’un appareil d’employé a installé une extension VS Code infectée.
Attaque contre Grafana Labs (16 mai 2026) : SlowMist confirme que le groupe de cybercriminels a accédé sans autorisation au dépôt de code GitHub de Grafana Labs, a téléchargé le dépôt et a formulé des demandes de rançon en menaçant de divulguer des données.
SlowMist précise également le mode opératoire potentiel des attaquants : vol d’identifiants cloud et locaux, accès non autorisé aux dépôts internes et aux infrastructures cloud sensibles, mouvements latéraux entre les machines des développeurs et les chaînes CI/CD, et revente des tokens GitHub divulgués.
Mesures d’atténuation recommandées par SlowMist
D’après les recommandations officielles de SlowMist :
Rotation immédiate : tous les identifiants GitHub, npm, PyPI et cloud exposés
Remplacement des paquets affectés : remplacer les paquets npm/PyPI affectés par des versions sécurisées vérifiées, ou geler les versions des dépendances
Isolation du système : isoler les systèmes potentiellement compromis et procéder à un audit afin d’empêcher le vol de identifiants ou les mouvements latéraux
Vérification des dépendances : vérifier si les fichiers de verrouillage (package-lock.json, yarn.lock, requirements.txt, etc.) contiennent des versions affectées
Surveillance des activités anormales : surveiller les activités GitHub et cloud afin de repérer les événements d’authentification inhabituels et les signes de fuite de tokens
FAQ
Quels paquets sont confirmés comme étant affectés par l’attaque de Mini Shai-Hulud ?
D’après les informations de menace de SlowMist, les paquets affectés incluent des composants très utilisés de l’écosystème npm comme AntV et Echarts-for-react, ainsi que des versions 1.4.1, 1.4.2 et 1.4.3 du paquet Python durabletask. SlowMist indique qu’il continuera à suivre l’apparition éventuelle de nouvelles versions malveillantes.
Comment SlowMist détermine-t-il que la fuite des tokens GitHub est liée à cette attaque de chaîne d’approvisionnement ?
L’évaluation de SlowMist s’appuie sur l’analyse des informations de menace, classée « très probablement » (et non une confirmation absolue). La raison est que certains des tokens divulgués pourraient avoir été utilisés pour accéder aux dépôts de code GitHub. GitHub a également confirmé indépendamment le fait que l’extension VS Code malveillante avait infecté l’appareil d’un employé.
Comment les développeurs peuvent-ils vérifier rapidement si leur projet utilise des versions affectées ?
D’après les recommandations de SlowMist, il est possible de vérifier via les commandes suivantes : pour les paquets npm, utiliser npm ls --all ; pour les paquets Python, utiliser pip show durabletask pour confirmer le numéro de version ; en parallèle, vérifier si les fichiers de verrouillage (package-lock.json, yarn.lock, requirements.txt, etc.) contiennent des versions malveillantes affectées.
