18 paquets npm malveillants imitent des outils Alibaba : traque d’un RAT multiplateforme

Le 3 août 2026, une analyse de sécurité a révélé dix-huit paquets npm conçus pour cibler les développeurs travaillant avec l’écosystème Alibaba. Publiés par le compte « ch4ce », ces modules installent un cheval de Troie d’accès à distance (RAT) capable d’agir sur Windows, Linux et macOS. L’attaque exploite des techniques de confusion de dépendances et une infrastructure en plusieurs étapes, avec un domaine imitant un point de terminaison légitime d’Alibaba Cloud. Bien que le nombre de téléchargements publics reste limité, la campagne est hautement ciblée et le RAT offre des capacités de déplacement latéral via des applications comme DingTalk et Qoder.

La découverte et la liste complète des paquets

Le compte « ch4ce » a téléversé les paquets malveillants à différents moments. Le plus ancien, lib-mtop, était apparu dans une version vide dès novembre 2023 ; les variantes actives (v1.0.1–1.0.3) sont arrivées entre mars et avril 2026. Les noms choisis – aone-kit, aone-kit-cli, aone-sandbox, aone-cloud-cli et d’autres – simulent des packages privés qui, dans le registre npm, utilisent le scope @ali, réservé aux outils internes du groupe Alibaba. Dans les environnements configurés pour résoudre des dépendances depuis ce namespace, le piège se referme automatiquement : le gestionnaire de paquets cherche d’abord dans le registre public et, trouvant un homonyme, l’installe sans alerte.

Liste complète des modules concernés :
lib-mtop, aone-kit, aone-kit-cli, aone-sandbox, local-config-parser, smart-config-manager, cloud-config-fetcher, fast-transform-pipeline, aone-cloud-cli, colder-cli, def-open-client, feedback-ai-sdk, flight-compare-analyzer, lwp-web-client, lzd-unified-station-sdk, open-worker-cli, test-skill-zip, uniapi-bridge.

Une attaque à plusieurs niveaux, avec des règles téléchargées depuis GitHub

La logique malveillante n’est pas contenue dans un seul fichier. Les paquets de surface font appel à smart-config-manager, un module-pont qui dépend lui-même de composants de bas niveau hébergeant le chargeur. L’un d’eux récupère une configuration de « moteur de règles » depuis un dépôt GitHub public. Le moteur détourne le module vm de Node.js pour interpréter ces règles et, selon le système d’exploitation détecté, télécharge une charge utile supplémentaire.

Le domaine de mise en scène est aone-cli-next.oss-cn-beijing.aliyuncs[.]com, construit pour ressembler à un point de terminaison d’Alibaba Cloud Object Storage Service (région de Pékin). La charge finale agit de manière différenciée.

Charge utile finale : Alilang trojanisé, Launch Agent toutes les 10 minutes

Sous Windows, le RAT repère et termine l’application de sécurité d’entreprise Alilang, puis la remplace par une version altérée. Sous Linux, il télécharge un binaire dans /tmp, l’exécute en tant que processus détaché et le supprime immédiatement après l’avoir chargé en mémoire. Sous macOS, il insère un script malveillant dans ~/.zshrc et enregistre un Launch Agent qui se réactive toutes les 10 minutes, garantissant ainsi la persistance même après redémarrage.

Une fois actif, le RAT permet l’exécution de commandes, le téléchargement et l’envoi de fichiers, la reconnaissance du système, le déploiement d’outils supplémentaires et le déplacement latéral. Pour se propager d’une machine à l’autre, il exploite l’injection dans des applications collaboratives très répandues en Chine comme DingTalk, Wukong et Qoder. Le code contient des commentaires en chinois et les commits ont été effectués avec le fuseau horaire UTC+08:00, éléments qui suggèrent un acteur sinophone. L’objectif le plus probable est l’espionnage industriel, visant à dérober de la propriété intellectuelle et à accéder à des réseaux de développement.

Les contre-mesures et l’attaque parallèle sur PyPI

Les développeurs utilisant des outils Alibaba doivent immédiatement vérifier si l’un des 18 paquets est présent dans leurs environnements npm. Si tel est le cas, l’environnement doit être considéré comme compromis. Il faut renouveler tous les identifiants et secrets depuis une machine saine, analyser les systèmes à la recherche de Launch Agents suspects, de modifications de .zshrc, de processus anormaux et de versions altérées d’Alilang. Il est recommandé d’isoler les environnements de build et de restreindre l’accès aux registres privés avec des scopes limités aux réseaux autorisés.

À la même période, un acteur non identifié a également frappé PyPI. Il a compromis le compte GitHub du mainteneur de la bibliothèque quantique mrmustard (développée par Xanadu) via des runners CI auto-hébergés, volant les secrets de publication. La version empoisonnée 0.7.4 installe trois mécanismes de persistance et dérobe des clés privées SSH, des identifiants AWS, des configurations Kubernetes et des informations sur les files d’attente HPC (SLURM, inventaires GPU), exfiltrant le tout vers metrics.femboy[.]energy. Cet épisode confirme que toute la chaîne d’approvisionnement du logiciel open source – npm, PyPI et les comptes des développeurs – est sous la pression d’adversaires aux objectifs de long terme.