Moins de 24 heures après la compromission du scanner de vulnérabilités Trivy par des acteurs malveillants, une campagne secondaire baptisée CanisterWorm a infecté 47 packages npm. Ce ver informatique d’un nouveau genre utilise la blockchain pour son pilotage et dérobe les jetons d’authentification des développeurs pour se propager de manière autonome, marquant une escalade rapide qui inquiète l’ensemble de la communauté de la sécurité logicielle.
L’attaque a débuté le 19 mars 2026, lorsqu’un groupe identifié sous le nom de TeamPCP a réussi à compromettre le pipeline de publication de Trivy. Les attaquants auraient utilisé des identifiants ayant survécu à une rotation incomplète suite à un incident précédent survenu en février. En prenant le contrôle de l’action GitHub officielle trivy-action, les pirates ont publié une version malveillante (v0.69.4) et modifié 75 des 76 tags de version existants. Cette manipulation a transformé des références de confiance en mécanismes de diffusion de logiciels malveillants, permettant l’exfiltration de secrets CI/CD et de clés de fournisseurs cloud vers des domaines usurpant l’identité d’Aqua Security.
CanisterWorm : un pilotage décentralisé via la blockchain
Le malware, détecté pour la première fois le 20 mars 2026, représente le premier cas documenté d’utilisation abusive de canisters Internet Computer Protocol (ICP) comme relais de commande et contrôle (C2). Ces contrats intelligents infalsifiables sur la blockchain offrent une infrastructure décentralisée, car il n’existe aucun serveur central unique à neutraliser pour les autorités de cybersécurité. L’architecture de l’attaque se décompose en trois étapes : un chargeur Node.js dépose une porte dérobée Python persistante qui interroge ensuite le canister ICP toutes les 50 minutes pour obtenir des URL de charge utile. Cette méthode permet à l’attaquant de modifier les charges utiles à volonté sans altérer l’implant initial déjà présent sur les machines infectées.
Le mécanisme de propagation autonome par vol de jetons npm
Ce qui distingue CanisterWorm des attaques classiques est sa capacité de propagation de type ver informatique. Une fois installé, le malware scanne les fichiers .npmrc et les variables d’environnement des développeurs pour récupérer leurs jetons d’authentification npm. Muni de ces identifiants, le ver énumère tous les packages auxquels le compte compromis a accès, incrémente les versions de correctif et republie automatiquement la charge malveillante. Les chercheurs ont déjà identifié des infections sur 28 packages du scope @EmilGroup et 16 du scope @opengov, notant des incréments de versions brusques et des composants de malware identiques au byte près.
Une menace croissante pour la chaîne d’approvisionnement en 2026
Cette campagne s’inscrit dans un contexte de recrudescence des attaques visant l’écosystème npm, rappelant l’opération SANDWORM_MODE révélée en février dernier. Aqua Security a reconnu que le confinement du premier incident était incomplet et s’efforce désormais de supprimer les versions malveillantes de ses dépôts. Les experts avertissent que l’usage de la blockchain pour le pilotage d’attaques représente une évolution préoccupante, car les mécanismes traditionnels de retrait (take-down) sont inefficaces contre ces systèmes décentralisés.
Le rapport complet sur l’état de la sécurité et des identités est disponible en anglais sur le site de Aikido Security ou via l’analyse technique détaillée de Socket.
