Compromission massive Red Hat npm : le malware Miasma infecte 32 paquets — 5 actions urgentes pour les RSSI

— Le contexte : une attaque supply chain massive ciblant l’écosystème Red Hat npm

Dimanche 1er juin 2026, les équipes de recherche de Wiz et d’Aikido Security ont simultanément publié des alertes critiques confirmant la compromission de 32 paquets npm du scope @redhat-cloud-services. L’information, relayée dans l’heure par The Hacker News, a provoqué une onde de choc dans la communauté DevOps. Au total, 96 versions malveillantes ont été publiées, touchant des paquets téléchargés environ 80 000 fois par semaine.

Le vecteur d’attaque est particulièrement préoccupant : un compte GitHub d’employé Red Hat a été compromis, offrant aux attaquants un accès légitime aux pipelines CI/CD et aux tokens de publication npm. Contrairement aux attaques de typosquatting classiques, cette compromission touche des paquets officiels d’un éditeur majeur de confiance, ce qui rend la détection par les méthodes traditionnelles quasi impossible. Le code malveillant passe tous les contrôles de signature car il provient du compte légitime.

Le timing n’est pas innocent. Un dimanche de pont, avec des effectifs réduits dans la plupart des SOC français, et au moment où les pipelines CI/CD automatiques continuent leurs builds de pré-production. Plusieurs de nos clients utilisant des consoles d’administration Red Hat Hybrid Cloud ont vu leurs runners exécuter npm install automatiquement et récupérer les versions piégées avant que l’alerte soit remontée.

L’ampleur de cette attaque la place dans la catégorie des incidents supply chain les plus sérieux de 2026, aux côtés de la compromission Laravel-Lang de mai et de l’affaire Glassworm v2 d’avril. Pour les RSSI français, en particulier ceux supervisant des infrastructures cloud hybrides, la question n’est pas de savoir si leur organisation est potentiellement touchée, mais de déterminer l’étendue exacte de l’exposition et de réagir dans les heures qui viennent.

— Anatomie technique du malware Miasma : un stealer de nouvelle génération

Le malware injecté dans les 96 versions compromises se présente sous la forme d’un fichier JavaScript obfusqué de 4,1 Mo, exécuté via un hook preinstall dans le package.json de chaque paquet. Cette technique garantit l’exécution du payload avant même que le développeur n’interagisse avec le code, dès la commande npm install ou npm ci.

Le payload, baptisé « Miasma: The Spreading Blight » par les chercheurs de Wiz, est une nouvelle variante du malware Mini Shai-Hulud, précédemment attribué au groupe cybercriminel TeamPCP. L’évolution est significative : là où Mini Shai-Hulud ciblait principalement les tokens npm, Miasma élargit considérablement son spectre de collecte.

Credentials et secrets ciblés par le stealer Miasma

Une fois les données collectées, le malware installe un mécanisme de persistance adapté au système d’exploitation : un service systemd kitty-monitor.service sur Linux, ou un launch agent com.user.kitty-monitor.plist sur macOS. Ce mécanisme de surveillance persistante permet au malware de continuer à collecter des credentials même après la suppression du paquet npm compromis, et de détecter la création de nouveaux secrets pour les exfiltrer en temps réel.

L’attaque exploite également les tokens OIDC de GitHub Actions pour rebondir sur d’autres repositories et pipelines CI/CD. Concrètement, si un workflow GitHub Actions installe un paquet compromis, le token OIDC temporaire de ce workflow est capturé, permettant aux attaquants d’usurper l’identité du pipeline pour accéder à des ressources cloud protégées par la fédération d’identité OIDC. Ce mécanisme transforme un simple vol de credentials en une chaîne d’attaque complète CI/CD-to-cloud.

— Chronologie des attaques supply chain majeures en 2026

L’attaque Miasma s’inscrit dans une tendance alarmante d’accélération des compromissions de chaîne d’approvisionnement logicielle. Voici les incidents majeurs recensés depuis le début de l’année :

Cette chronologie montre une accélération nette : six incidents supply chain majeurs en cinq mois, contre deux sur l’ensemble du premier semestre 2025. Le groupe TeamPCP, déjà impliqué dans Glassworm v2 et les extensions VS Code malveillantes, semble avoir industrialisé ses opérations. Pour une analyse détaillée des méthodologies de ces attaques, consultez notre guide supply chain attack : sécuriser sa chaîne d’approvisionnement.

— Impact spécifique pour les entreprises françaises

Les paquets @redhat-cloud-services sont principalement utilisés dans les consoles d’administration Red Hat Hybrid Cloud, le portail client Red Hat et les outils internes de gestion d’infrastructure cloud. En France, cela concerne un large spectre d’organisations :

• Les ETI et grands comptes utilisant Red Hat OpenShift pour leur infrastructure Kubernetes. Selon nos évaluations, plus de 60 % des entreprises du CAC 40 ont au moins un composant Red Hat en production.
• Les ESN et intégrateurs qui déploient et maintiennent des plateformes Red Hat pour leurs clients, avec des pipelines CI/CD partagés.
• Les administrations publiques qui utilisent des solutions Red Hat dans le cadre de leurs stratégies cloud souverain.
• Les PME SaaS dont les outils de monitoring et d’observabilité intègrent des composants de l’écosystème Red Hat.

Le risque est amplifié par le mécanisme de dépendances transitives de npm. Une entreprise peut ne pas utiliser directement un paquet @redhat-cloud-services mais l’avoir installé comme dépendance indirecte d’un autre paquet. L’audit ne doit donc pas se limiter au package.json mais doit couvrir l’intégralité du package-lock.json et de l’arbre node_modules.

Pour les entités soumises à NIS2, la deadline CISA du 10 juin 2026 pour les CVE-2026-45321 et CVE-2026-48027 crée une obligation de fait : toute organisation utilisant ces paquets et n’ayant pas remédié avant cette date s’expose à un risque de non-conformité. Notre guide comment évaluer le risque supply chain d’un fournisseur détaille la méthodologie applicable.

— Ce que les RSSI doivent faire maintenant : 5 actions urgentes

Voici le plan de réponse structuré que nous recommandons à tous nos clients. Chaque action est calibrée pour une ETI française typique avec 20 à 100 dépôts Node.js et 5 à 20 runners CI/CD.

Action 1 (heures 0 à 4) : Scanner l’intégralité des dépendances npm

Lancer immédiatement un scan automatisé de tous les fichiers package-lock.json et arbres node_modules sur : postes développeurs, runners CI/CD (GitHub Actions, GitLab CI, Jenkins), conteneurs Docker en production, images de base dans vos registries. Rechercher toute dépendance au scope @redhat-cloud-services. Pour chaque occurrence, comparer le hash integrity du package-lock.json avec les hashes légitimes publiés par Red Hat après nettoyage. Tout désaccord implique une isolation immédiate du système concerné et le lancement d’une investigation forensique.

Action 2 (heures 2 à 8) : Détecter la persistance Miasma

Sur toutes les machines identifiées à l’étape 1, rechercher les indicateurs de persistance : sur Linux, vérifier la présence de kitty-monitor.service via systemctl list-units --all | grep kitty et inspecter /etc/systemd/system/ et ~/.config/systemd/user/. Sur macOS, vérifier launchctl list | grep kitty et inspecter ~/Library/LaunchAgents/com.user.kitty-monitor.plist. La présence de ces artefacts confirme une compromission active — déclencher immédiatement le plan de réponse incident NIS2.

Action 3 (heures 4 à 12) : Rotation massive des credentials

Partir du principe que tout système ayant installé un paquet compromis entre le 1er juin 00h00 UTC et le moment du nettoyage npm est totalement compromis. Procéder à la rotation dans cet ordre de priorité : 1) Tokens GitHub Actions OIDC et secrets des workflows. 2) Clés d’accès AWS, Azure service principals, GCP service accounts utilisés par les pipelines. 3) Tokens HashiCorp Vault. 4) Tokens de publication npm (.npmrc). 5) Clés SSH des runners et des développeurs exposés. 6) Mots de passe des coffres Bitwarden et 1Password si les clients desktop étaient installés sur les postes exposés. Documenter chaque rotation pour le dossier d’incident.

Action 4 (heures 8 à 24) : Analyse logs et blocage réseau

Récupérer les logs DNS, proxy sortant, NetFlow et les logs d’accès cloud (CloudTrail, Azure Activity Log, GCP Audit Log) sur une fenêtre de 30 jours. Rechercher toute résolution ou connexion liée aux IoC publiés par Wiz et Aikido. En parallèle, déployer des règles de blocage egress sur tous les firewalls sortants, security groups et proxies pour les domaines C2 identifiés. Pour les flottes Kubernetes, déployer des NetworkPolicy ou Cilium policies. Ajouter des règles Suricata/Snort dans le SOC pour alerter sur toute tentative future.

Action 5 (heures 12 à 48) : Reporting réglementaire NIS2 et CNIL

Si les actions 1 à 4 confirment une exposition (hash incohérent, persistance détectée, ou connexions C2 dans les logs), déclencher sans délai les notifications : ANSSI sous 24 heures (NIS2 article 23), rapport intermédiaire sous 72 heures, rapport final sous un mois. Si des données personnelles ont pu être exfiltrées via les credentials volés, notification CNIL sous 72 heures (article 33 RGPD). Préparer une AIPD si l’exposition concerne des données sensibles (santé, biométrie). Notre guide comment auditer la supply chain logicielle de votre entreprise fournit le framework méthodologique complet.

— Arbre de décision pour les RSSI : que faire selon votre exposition

— Comparaison avec les précédentes attaques supply chain npm

Pour situer la gravité de l’incident Miasma dans le paysage des attaques supply chain npm, voici un tableau comparatif des incidents majeurs récents :

Ce qui distingue Miasma des précédents incidents, c’est la combinaison de trois facteurs aggravants : la légitimité de l’éditeur (Red Hat), le mécanisme de persistance système, et le ciblage explicite des tokens OIDC pour rebondir sur l’infrastructure cloud. C’est un saut qualitatif dans la sophistication des attaques supply chain npm.

— Les mesures de fond à mettre en place après l’urgence

Au-delà de la réponse immédiate, cet incident doit catalyser des changements structurels dans la gestion de la supply chain logicielle de votre organisation. Voici les mesures que nous recommandons à moyen terme :

Déployer un proxy npm privé avec vérification d’intégrité. Utiliser un registre privé (Artifactory, Verdaccio, GitHub Packages) qui vérifie les hashes des paquets à chaque mise à jour et maintient un snapshot des versions approuvées. Toute modification de hash sur une version existante doit déclencher une alerte SOC.

Implémenter le pinning strict avec vérification continue. Au-delà du simple lock file, déployer un outil de monitoring continu qui compare les hashes des dépendances installées avec une baseline connue. Des solutions comme Socket.dev, Snyk ou notre propre stack d’audit supply chain détectent les anomalies de contenu même quand la version ne change pas.

Segmenter les droits d’accès CI/CD. Appliquer le principe de moindre privilège sur les pipelines : chaque workflow ne doit avoir accès qu’aux secrets strictement nécessaires à son exécution. Les tokens OIDC doivent être configurés avec des audiences et des claims restrictifs pour empêcher les rebonds latéraux.

Mettre en place des exercices de rotation à froid. Comme pour les exercices de crise cyber, planifier au minimum deux exercices de rotation complète de secrets par an. Cela permet de roder les runbooks et de diviser par trois le temps de réponse sur les incidents réels.

Intégrer l’audit supply chain dans le processus d’onboarding fournisseur. Chaque nouveau composant tiers intégré dans votre stack doit passer par une évaluation supply chain incluant : gouvernance du projet, sécurité des comptes mainteneurs, présence de 2FA, signature des releases. Notre méthodologie complète est détaillée dans notre article comment évaluer le risque supply chain d’un fournisseur.

— Ce qu’il faut surveiller dans les 30 prochains jours

3-5 juin 2026 : publication attendue par l’ANSSI CERT-FR d’un advisory avec les IoC complets (hashes, domaines C2, mutexes du service kitty-monitor). 10 juin 2026 : deadline CISA pour la remédiation de CVE-2026-45321 et CVE-2026-48027 — toute entité NIS2 doit avoir remédié. Mi-juin : premières détections de rebond attendues — les tokens OIDC volés pourraient être utilisés pour compromettre d’autres repositories et pipelines. Fin juin : probable variante ciblant d’autres scopes npm d’éditeurs majeurs, TeamPCP ayant démontré sa capacité à industrialiser ce type d’attaque.

Pour rester informé des évolutions de cet incident et des prochaines attaques supply chain, consultez régulièrement notre blog sécurité et notre guide de référence sur les 7 étapes pour auditer votre supply chain logicielle.

— Questions fréquentes