La Corée du Nord nie toute implication dans les attaques npm après l’alerte de 11 pays

Deux campagnes récemment révélées illustrent la manière dont les groupes de pirates informatiques nord-coréens intensifient leurs attaques contre l'écosystème des logiciels open source, en compromettant des paquets JavaScript largement utilisés et en s'appuyant sur la technologie blockchain pour dissimuler l'infrastructure de leurs logiciels malveillants.

Amazon lie quatre attaques npm à Sapphire Sleet

Le service de renseignement sur les menaces d'Amazon Amazon.com, Inc. ↘ 2.24% a publié un rapport le 28 juillet liant quatre compromissions de la chaîne d'approvisionnement npm (impliquant les paquets Axios, debug, chalk et typo-crypto) à Sapphire Sleet, un cyberattaquant associé à la Corée du Nord. La campagne s'est déroulée de mars 2025 à mars 2026, Amazon évaluant cette attribution avec un niveau de confiance moyen sur la base d'indicateurs de commande et de contrôle partagés, de réutilisation de code et de scripts post-installation.esecurityplanet+2

Plutôt que d'exploiter des vulnérabilités techniques dans l'infrastructure de npm, les attaquants ont ciblé les développeurs autorisés à maintenir des paquets populaires, utilisant l'ingénierie sociale pour voler leurs identifiants et déployer des mises à jour malveillantes via des comptes légitimes. Axios à lui seul enregistre plus de 100 millions de téléchargements hebdomadaires, ce qui illustre l'ampleur potentielle de l'exposition.linkedin+2

Des transactions Ethereum pour masquer les serveurs de logiciels malveillants

Par ailleurs, des chercheurs d'OpenSource Malware ont identifié une technique baptisée "NullReceiver", découverte dans deux paquets npm malveillants (bianira-ui et fluid-type-ui) qui usurpaient l'identité de plugins Tailwind CSS. Cette technique encode l'adresse IP d'un serveur de commande et de contrôle dans le champ du destinataire d'une transaction Ethereum vide, rendant l'activité impossible à distinguer des transferts de portefeuille habituels.cybersecuritynews+2

Ces transactions de valeur nulle ne contiennent aucun appel de contrat intelligent ni aucune donnée utile, ce qui permet au logiciel malveillant de récupérer des instructions à partir d'une blockchain publique que les défenseurs ne peuvent pas facilement neutraliser. OpenSource Malware a relié cette campagne à l'opération Contagious Interview, liée à la RPDC, qui a ciblé à plusieurs reprises des développeurs à l'aide de leurres logiciels convaincants.cybersecuritynews

Réaction internationale et démenti de Pyongyang

Ces conclusions surviennent quelques jours après que les États-Unis, la Corée du Sud, le Japon et huit autres pays ont publié une alerte conjointe le 1er août, avertissant que des informaticiens nord-coréens utilisent de fausses identités et des outils d'IA pour obtenir des emplois à distance et canaliser des revenus vers les programmes d'armement de Pyongyang. Le FBI a déclaré que huit personnes ont été condamnées à des peines de prison en 2026 pour leur rôle dans ces stratagèmes.upi+2

La Corée du Nord a réagi mardi par l'intermédiaire de l'agence de presse officielle KCNA, qualifiant ces avertissements de "politiquement motivés" et accusant les États-Unis de "militariser le cyberespace". Un porte-parole du ministère des Affaires étrangères a rejeté l'alerte conjointe, y voyant une tentative de "ternir son image et de justifier des pressions sur des États souverains".reuters