Dans un rapport publié le 5 octobre 2026, Checkmarx détaille MALFEX, une campagne de paquets npm malveillants étudiée aussi par CloudSEK. Les charges décrites visent Windows et comprennent des outils d’accès distant et de vol d’identifiants. Pour une équipe qui développe une application ou maintient un site, le risque commence lors de l’installation ou du chargement d’une dépendance, avant même la livraison du logiciel.
Une dépendance peut lancer du code
MALFEX combine plusieurs chemins de distribution. Checkmarx décrit des scripts d’installation et du code exécuté au chargement du paquet. Les analyses identifient notamment Overlord RAT et le voleur movinlike; elles ne montrent pas que chaque installation délivre toutes les charges.
CloudSEK apporte une recherche complémentaire sur les liens entre les comptes éditeurs et les dépendances. Il faut donc examiner la chaîne de paquets, pas seulement le nom ajouté directement au projet.
Huit noms à vérifier, pas quarante mille victimes
Les paquets malveillants recensés sont function-flag, function-color, cdn-img-fetch, img-to-native, native-runner, tlxbnhd, tldriver et mxdriver. Hackread documente notamment le rôle des paquets compagnons et le vol de données de navigateur et de Discord.
Les 40 767 téléchargements rapportés au 1er octobre mesurent une diffusion dans le registre. Comme le souligne aussi SecurityWeek, ce volume ne permet pas de compter les postes compromis. Le statut de disponibilité des paquets dans les rapports est daté et ne prouve pas leur état actuel.
Quels accès examiner sur le poste
Un développeur peut avoir sur son ordinateur des sessions de navigateur, des comptes de collaboration et des accès aux dépôts ou aux outils de livraison. Si une charge malveillante s’exécute, l’évaluation doit porter sur ce qui était accessible à ce moment-là.
Ne limitez pas l’analyse au seul mot de passe du compte npm. Notre guide des infostealers explique pourquoi les cookies et jetons de session demandent également une réponse dans les services concernés.
Réagir à une installation suspecte
Arrêtez les installations et les tâches de build sur le poste suspect. Suivez la procédure d’isolement de votre équipe et conservez les fichiers de verrouillage ainsi que les traces d’installation utiles à l’enquête. Ne relancez pas le paquet pour « voir ce qu’il fait ».
Depuis un environnement fiable, évaluez les mots de passe, jetons et sessions à révoquer ou renouveler. Notre guide après un mot de passe piraté complète cette étape, sans remplacer l’examen du poste.
Reprendre les builds avec une chaîne vérifiée
Contrôlez les manifests et dépendances transitives, puis comparez les changements récents aux versions attendues. Réservez l’autorisation de scripts d’installation aux besoins identifiés. Un blocage des scripts ne suffit pas à couvrir le code qui s’exécute quand une bibliothèque est chargée.
Avant de réutiliser des secrets dans un build, faites confirmer la fiabilité de l’environnement et des dépendances. Gardez une trace des paquets écartés et de la raison de leur retrait, pour éviter une réintroduction par un autre projet.
Le lien avec Soclyde
Soclyde permet d’organiser des identifiants distincts dans un coffre chiffré conservé sur les appareils. Pour une équipe technique, cela facilite l’inventaire des accès à renouveler et limite la réutilisation d’un même mot de passe.
Un coffre local n’empêche pas un malware d’agir sur un poste compromis ni de voler une session ouverte. La révocation des jetons et le nettoyage doivent être effectués dans les outils concernés. Retrouvez le périmètre du produit dans les fonctionnalités de Soclyde.
À retenir
Recherchez les huit noms de paquets dans les projets et les traces, sans les exécuter. Une dépendance retirée ne prouve pas que le poste est propre. Si MALFEX a pu s’exécuter, associez l’examen de l’appareil à celui des accès professionnels et reconstruisez depuis un environnement vérifié.
Pour préparer la réponse au vol de sessions et de secrets, consultez notre guide des infostealers.
