L’attaque de la chaîne d’approvisionnement npm « Mini Shai‑Hulud » expliquée

Les chaînes d’approvisionnement logicielles open source reposent largement sur la confiance : confiance dans les mainteneurs, dans les pipelines d’intégration continue (CI), et dans les signatures cryptographiques censées garantir l’authenticité d’un logiciel. La campagne Mini Shai‑Hulud a démontré à quelle vitesse ces mécanismes peuvent être détournés.

En mai 2026, un groupe d’attaquants connu sous le nom TeamPCP a lancé une attaque coordonnée visant les écosystèmes npm et PyPI. Des centaines de versions malveillantes de paquets ont été publiées en exploitant l’infrastructure de build légitime des projets pour leur donner l’apparence de versions authentiques.

Lors d’un pic le 19 mai 2026, les attaquants auraient publié 637 versions malveillantes réparties sur 323 paquets npm en environ 22 minutes, après avoir compromis un compte mainteneur lié à l’écosystème @antv, largement utilisé pour la visualisation de données JavaScript.

Cette attaque est considérée comme l’une des plus importantes attaques de chaîne d’approvisionnement open source observées à ce jour, notamment parce que les artefacts malveillants comportaient des signatures et des attestations de provenance valides, un mécanisme normalement utilisé pour garantir l’intégrité des builds.

Une campagne multi‑étapes visant l’écosystème des développeurs

Mini Shai‑Hulud ne correspond pas à un incident isolé, mais à une campagne progressive visant plusieurs communautés open source.

Selon des analyses de sécurité, l’opération a compromis plus de 170 paquets npm et PyPI répartis sur 19 espaces de noms, avec plus de 400 versions malveillantes publiées entre le 10 et le 12 mai 2026.

Les bibliothèques affectées étaient liées à des projets populaires comme TanStack, Mistral AI, UiPath, OpenSearch et Guardrails AI, des composants largement utilisés dans les applications web et les outils de développement.

Au total, ces paquets cumulaient plus de 518 millions de téléchargements historiques, ce qui signifie qu’une compromission, même brève, pouvait potentiellement toucher un très grand nombre de projets dépendants.

Une vague ultérieure a ciblé l’écosystème AntV, un ensemble de bibliothèques de visualisation JavaScript totalisant environ 16 millions de téléchargements hebdomadaires sur npm.

Comment plus de 600 versions malveillantes ont été publiées en quelques minutes

La rapidité spectaculaire de l’attaque s’explique par l’exploitation de l’automatisation utilisée dans les projets open source.

Dans la vague du 19 mai, les attaquants auraient compromis le compte mainteneur npm associé au paquet atool et l’ont utilisé pour publier des mises à jour sur de nombreux paquets liés.

Dans l’écosystème npm, les mainteneurs peuvent automatiser la publication via des scripts et des pipelines CI. Une fois le compte compromis, les attaquants ont pu :

• déclencher des publications automatisées sur de nombreux paquets
• incrémenter rapidement les numéros de version
• publier plusieurs versions en parallèle

Grâce à cette automatisation, des centaines d’artefacts malveillants ont pu être publiés en quelques minutes, plutôt que de compromettre chaque paquet individuellement.

Détournement de GitHub Actions et des jetons OIDC

Un des aspects techniques les plus marquants de Mini Shai‑Hulud est la manière dont il a contourné les mécanismes modernes de publication sécurisée.

De nombreux projets utilisent aujourd’hui le système de “trusted publishing” de GitHub Actions. Dans ce modèle, les pipelines CI obtiennent des jetons d’identité temporaires via OpenID Connect (OIDC) pour publier des paquets sans stocker de secrets permanents.

Dans plusieurs projets compromis, les attaquants ont réussi à :

• détourner ou manipuler des workflows GitHub Actions
• récupérer des jetons OIDC temporaires dans l’environnement du runner
• utiliser ces jetons pour authentifier les publications

Comme la publication provenait du pipeline officiel du projet, les paquets semblaient provenir du système de build légitime du projet.

Cette technique a remis en question une hypothèse courante : supprimer les identifiants permanents ne suffit pas si l’attaquant prend le contrôle du pipeline lui‑même.

Quand des logiciels malveillants sont signés comme du code légitime

L’attaque a également exploité les systèmes d’intégrité de la chaîne d’approvisionnement logicielle eux‑mêmes.

Les pipelines modernes produisent souvent des attestations de provenance SLSA et signent les artefacts avec Sigstore, permettant aux développeurs de vérifier qu’un paquet a été construit par un workflow approuvé.

Dans Mini Shai‑Hulud, les chercheurs ont découvert que les attaquants avaient réussi à obtenir de véritables certificats de signature, en utilisant les identités compromises issues de GitHub Actions et les jetons OIDC.

Résultat : les paquets malveillants étaient distribués avec une provenance SLSA Build Level 3 valide et des signatures cryptographiques authentiques.

Du point de vue des outils de vérification, tout semblait normal : signatures valides, pipeline officiel, traçabilité complète. Le problème n’était pas le système de signature, mais le fait que l’environnement de build lui‑même était compromis.

Ce que le malware cherchait à voler

Le code malveillant inclus dans les paquets visait surtout à récupérer des identifiants sensibles utilisés par les développeurs et les infrastructures.

Les analyses indiquent qu’il ciblait notamment :

• des tokens CI/CD et identifiants de pipelines
• des clés d’accès aux fournisseurs cloud
• des jetons npm ou GitHub
• des clés SSH et autres secrets de développement

En volant ces informations, le malware pouvait compromettre d’autres dépôts et pipelines de publication, permettant au ver de se propager d’un projet à l’autre dans l’écosystème open source.

Pourquoi cette attaque inquiète l’écosystème JavaScript

Mini Shai‑Hulud a mis en évidence plusieurs faiblesses structurelles de la chaîne d’approvisionnement logicielle moderne.

D’abord, l’infrastructure de confiance peut être retournée contre elle‑même. Même des mécanismes avancés comme OIDC, SLSA ou Sigstore ne suffisent pas si les attaquants contrôlent le pipeline qui produit le logiciel.

Ensuite, un seul compte mainteneur compromis peut affecter des centaines de paquets. L’incident AntV montre comment un accès unique peut déclencher une avalanche de versions malveillantes.

Troisièmement, la popularité de certaines bibliothèques amplifie l’impact : un paquet compromis peut se retrouver indirectement dans des milliers de projets via les dépendances transitives.

Enfin, les chercheurs relient Mini Shai‑Hulud à une campagne plus large menée par TeamPCP, qui aurait également impliqué la compromission d’outils comme le plugin Jenkins AST de Checkmarx et des attaques sur plusieurs écosystèmes open source.

Comme ces techniques reposent sur des mécanismes largement utilisés (CI/CD automatisé, identités OIDC, publication automatisée), les analystes estiment que des variantes ou attaques imitatrices sont probables.

La leçon pour les équipes de développement

Mini Shai‑Hulud rappelle une réalité souvent négligée : les signatures cryptographiques et les attestations de provenance ne garantissent pas la sécurité si l’environnement qui produit le logiciel est compromis.

C’est pourquoi de plus en plus d’organisations cherchent à renforcer la sécurité autour :

• de l’isolation des runners CI
• des permissions des workflows
• de la surveillance des publications inhabituelles
• de l’audit continu des dépendances

À mesure que l’industrie adopte les builds automatisés et les artefacts signés, la sécurité de l’infrastructure CI et des identités développeurs devient aussi critique que celle du code lui‑même.

Mini Shai‑Hulud a montré à quelle vitesse cette confiance peut être exploitée — et à quel point les conséquences peuvent se propager dans tout l’écosystème open source.