English
日本語
한국어
Polski
Deutsch
Nederlands
Español
Português
Italiano
Svenska
// DOSSIER — amazon-links-north-korean-hacking-group-open-source
Amazon lie own un groupe de piratage nord-coréen à une campagne coordonnée visant la chaîne d'approvisionnement open-source
PUBLIÉ: 31 juil 2026 22:27Z · LANGUE: FR
L'intelligence sur les menaces d'Amazon a identifié une campagne coordonnée menée par un groupe de piratage parrainé par l'État nord-coréen ciblant la chaîne d'approvisionnement logicielle open-source mondiale. En reliant quatre compromissions majeures de packages JavaScript—typo-crypto, debug, chalk et axios—les chercheurs ont révélé une opération industrielle active depuis le début de 2025. Les attaquants ont utilisé l'ingénierie sociale pour gagner la confiance des mainteneurs de packages, leur permettant d'injecter du code malveillant dans des bibliothèques qui reçoivent des centaines de millions de téléchargements hebdomadaires. Cette campagne vise à obtenir un accès élargi aux systèmes d'entreprise en aval pour générer des revenus pour le régime nord-coréen, contournant ainsi les sanctions internationales et finançant des programmes militaires.
// Contexte
Le logiciel open-source repose sur un modèle basé sur la confiance où les mainteneurs bénévoles manquent souvent de ressources pour vérifier chaque contribution. La Corée du Nord a un long historique d'utilisation d'opérations cybernétiques, y compris le vol de cryptomonnaies et l'infiltration de travailleurs informatiques, pour soutenir son économie sous sanctions mondiales. L'incident de la porte dérobée XZ Utils de 2024 a précédemment mis en évidence le risque extrême de l'ingénierie sociale à long terme dans les projets open-source.
// Développements clés
- Attribué la campagne au groupe nord-coréen suivi sous le nom de Sapphire Sleet, BlueNoroff ou APT38.
- Identification de compromissions dans quatre packages NPM largement utilisés : typo-crypto, debug, chalk et axios.
- Axios seul compte plus de 100 millions de téléchargements hebdomadaires, tandis que debug et chalk dépassent ensemble 1 milliard.
- Les attaquants ont utilisé l'ingénierie sociale pour se faire passer pour des contributeurs légitimes et obtenir un accès de mainteneur afin de publier des mises à jour malveillantes.
- Avertissement contre le 'slopsquatting', où les attaquants exploitent les erreurs des assistants de codage IA pour enregistrer et distribuer des packages malveillants.
- Amazon a lancé l'initiative Akrites avec un investissement de 12,5 millions de dollars pour sécuriser les logiciels open-source contre les menaces liées à l'IA.
// Chronologie
-
Compromission initiale du package typo-crypto, évaluée par Amazon comme une répétition pour tester le mode opératoire du groupe.
-
Compromissions coordonnées des bibliothèques populaires debug et chalk, affectant environ 10 % des environnements cloud.
-
Violation de la sécurité d'un mainteneur du package axios via l'ingénierie sociale pour injecter du code malveillant dans le client HTTP largement utilisé.
-
Amazon publie les conclusions liant les quatre incidents au même acteur étatique nord-coréen.
// Perspectives
[Amazon Threat Intelligence]
Considère la campagne comme une opération industrielle sophistiquée menée par un État-nation et préconise une responsabilité industrielle partagée et un investissement dans les outils de sécurité.
[U.S. Government Officials]
Inquiets que ces cyberopérations fournissent une source de revenus critique pour la Corée du Nord afin de financer ses programmes nucléaires et de missiles balistiques tout en contournant les sanctions internationales.
[Cybersecurity Researchers (Wiz/Socket)]
Soulignent l'échelle rapide de l'impact, notant que 1 environnement cloud sur 10 a été affecté dans les deux heures suivant les compromissions de debug et chalk.
// Citations
“Une seule compromission réussie de la chaîne d'approvisionnement peut permettre d'accéder à des centaines, sinon plus, d'intrusions ciblées.”
“Ils ne cassent pas les systèmes open-source, ils les utilisent tels qu'ils sont conçus, juste pour un objectif différent.”
“La communauté open-source cherche des citoyens modèles, car ces packages sont souvent maintenus par des personnes qui ne sont pas payées pour faire cela comme un travail à plein temps.”
