Paquet npm catwrestlinghuman : charge postinstall fortement obfusquée
Veille sécuritéSupply chain & dépendances
P3Élevée

catwrestlinghuman@1.0.0 est un paquet npm malveillant dont le hook postinstall exécute une charge opaque encodée en JSFuck. Le paquet ne fournit pas de fonctionnalité légitime documentée ni de code source lisible.

npmNode.jsJavaScript
IdentifiantAdvisory / incident
EPSS—
Exploitationnon connue / non déterminée
CorrectifAucune version corrigée.

Analyse technique

Le hook postinstall lance index.js lors de npm install. index.js et extension.js sont de volumineux blobs composés de caractères JSFuck et décodés à l’exécution au moyen de Function(), permettant l’exécution de JavaScript arbitraire tout en contournant la revue statique élémentaire.

Impact, versions et correctif

VecteurInstallation npm du paquet affecté.
PréconditionsExécution de npm install avec les scripts de cycle de vie autorisés.
ImpactExécution non transparente de code arbitraire sur les postes développeur ou runners CI ; le comportement final de la charge reste non documenté dans l’avis.
Versions affectéescatwrestlinghuman = 1.0.0.
Version corrigéeAucune version corrigée.
ContournementSupprimer le paquet, reconstruire node_modules depuis un lockfile de confiance et désactiver temporairement les scripts npm lors de l’analyse des dépendances, lorsque compatible avec le projet.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-21T08:30:33+02:00
Mise à jour2026-09-21T08:30:39+02:00

Détection / vérification

Rechercher catwrestlinghuman@1.0.0 dans les lockfiles, caches npm et journaux d’installation. Identifier les hooks postinstall lançant index.js et les fichiers JavaScript anormalement volumineux constitués majoritairement des caractères []()!+. Examiner les exécutions Node.js déclenchées au moment de l’installation.

Action recommandée

Bloquer le paquet, investiguer les hôtes ayant effectué l’installation et renouveler les secrets accessibles aux processus npm si une exécution a été confirmée.

Sources

Priorisation DFS : P3 · confiance de recoupement standard · 1 source(s).

, ,