Un accès CI volé a publié une version malveillante de bee-js et une version trojanisée de Swarm Desktop

Le 9 novembre 2026, des attaquants ont utilisé un accès compromis à l’automatisation GitHub d’Ethersphere pour publier un paquet npm malveillant et une application de bureau trojanisée pour le réseau de stockage décentralisé Swarm. Socket, SafeDep et The Hacker News ont tous publié le même jour.

Ce qui a été publié

• @ethersphere/bee-js 13.3.0 est resté la dernière version npm pendant environ 75 minutes (environ 00 h 09 à 01 h 25 UTC). Un script postinstall a téléchargé et exécuté du JavaScript distant. npm l’a ensuite retiré ; 13.2.0 est de nouveau la dernière version.
• Swarm Desktop 0.56.2 est apparu comme publication GitHub vers 00 h 36 UTC et est resté en ligne environ 8,5 heures. La version macOS était signée avec le Developer ID du projet et notarisée par Apple. Le mécanisme de mise à jour automatique de l’appli pouvait la proposer aux PC Windows x64 et aux Mac Apple Silicon en environ dix minutes. Les Mac Intel ne l’ont jamais reçue ; Linux ne se met pas à jour automatiquement.

Les deux portent un petit chargeur qui récupère du code depuis api.frameworkmetrics.xyz et l’exécute avec les privilèges de l’utilisateur. Les chercheurs lient les étapes suivantes à la campagne SleepyDuck / EtherDuck qui a abusé de fausses extensions Solidity sur Open VSX plus tôt cette année : le même contrat de configuration Ethereum, le même relais ScreenConnect sous Windows, et les mêmes noms de persistance « Solidity language support » sous macOS et Linux.

Ce que fait le logiciel malveillant

Si le dossier de données de Swarm Desktop est présent, le code téléchargé vole config.yaml (qui contient le mot de passe du nœud en clair) et le fichier de portefeuille chiffré swarm.key, puis les envoie aux attaquants. Avec les deux fichiers, disent les chercheurs, les soldes xDAI et xBZZ du nœud, les fonds du carnet de chèques et la mise peuvent être pris.

Il installe aussi un accès à distance : une porte dérobée Go appelée evjawbreaker sous ~/.solidity/ sous Linux et macOS, et un vrai client ScreenConnect de ConnectWise comme service système masqué sous Windows. Mettre à jour ou retirer le paquet ou l’appli ne retire pas ces implants.

Socket estime de l’ordre d’une dizaine de téléchargements de bee-js 13.3.0, y compris les balayeurs. Les compteurs de Swarm Desktop 0.56.2 ont atteint 65 vers 08 h 27 UTC, y compris les chercheurs. Aucun vol de fonds n’avait été signalé quand The Hacker News a publié. Les mainteneurs ont retiré 0.56.2 et publié une version propre 0.56.3 basée sur le bon code précédent et un nouveau certificat de signature.

Ce que vous pouvez faire

1. Cherchez dans les fichiers de verrouillage et les caches @ethersphere/bee-js@13.3.0 et épinglez 13.2.0. Videz les miroirs et caches qui détiennent encore 13.3.0.
2. Si 13.3.0 s’est installé avec les scripts activés, traitez cette machine ou ce coureur CI comme compromis. Faites tourner chaque mot de passe, jeton et clé que cet environnement pouvait lire, depuis un ordinateur propre.
3. Pour Swarm Desktop, cherchez dans bee-desktop.log la ligne « Bee Desktop version: 0.56.2 ». Installez 0.56.3 (remplacez les paquets Linux à la main). Si 0.56.2 a tourné, déplacez les fonds et la mise du nœud vers une nouvelle clé depuis une machine propre.
4. Retirez la persistance : ~/.solidity/, solidity-langsupport-runner.service (Linux), com.solidity.langsupport.runner (macOS), et ScreenConnect Client (5cbe79c9c25524df) (Windows). Reconstruisez depuis une image de confiance quand vous le pouvez.
5. Voyez notre histoire en direct GhostAction pour un schéma lié d’identifiants de développeurs volés alimentant des publications de chaîne d’approvisionnement.

Comment Frame peut aider

Frame surveille les nouvelles divulgations de fuites pour vos adresses vérifiées et vous donne une courte liste de vérification quand quelque chose frappe. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame ne balaye pas les machines de développeurs pour ce logiciel malveillant ; les étapes ci-dessus sont celles que recommandent les chercheurs.

À lire aussi

• Des comptes de développeurs détournés plantent des voleurs d’identifiants sur GitHub et npm.
• PolinRider a caché des chargeurs dans 10 paquets npm et a utilisé Ethereum pour trouver ses serveurs.

Sources

• Socket, Malicious bee-js npm Release and Swarm Desktop Releases Deliver SleepyDuck Ethereum C2 Backdoor (en anglais), 9 novembre 2026
• SafeDep, Compromised bee-js and Swarm Desktop Steal Swarm Wallet Keys (en anglais), 9 novembre 2026
• The Hacker News, Hackers Compromise Ethersphere's bee-js and Swarm Desktop to Deliver Wallet-Stealing Malware (en anglais), 9 novembre 2026