Corée du Nord : Sapphire Sleet cible npm debug, chalk et axios

Amazon attribue trois ans d'attaques supply chain à Sapphire Sleet

Le 29 juillet 2026, Amazon Threat Intelligence a publié un rapport attribuant avec confiance moyenne une série d'attaques supply chain ciblant l'écosystème npm au groupe nord-coréen Sapphire Sleet, également suivi par Microsoft sous ce nom. Cette attribution, relayée par BleepingComputer, The Hacker News, The Record de Recorded Future et plusieurs autres publications spécialisées, relie pour la première fois dans un seul rapport cohérent trois compromissions distinctes qui s'échelonnent de mars 2025 à mars 2026.

La chronologie reconstituée par Amazon débute en mars 2025 avec la compromission du package typo-crypto, une bibliothèque npm de cryptographie. Amazon évalue que cette première opération a servi de banc d'essai, permettant au groupe de tester sa chaîne d'approvisionnement malveillante avant de viser des cibles plus exposées. L'impact de cette première attaque est resté limité, la bibliothèque ciblée ayant un volume de téléchargements modeste.

En septembre 2025, Sapphire Sleet est passé à l'offensive contre des cibles autrement plus stratégiques : debug et chalk, deux des packages npm les plus utilisés au monde. Ensemble, ces deux bibliothèques enregistrent plus d'un milliard de téléchargements hebdomadaires et constituent des dépendances quasi universelles dans les projets JavaScript et Node.js. Selon Amazon, la compromission de leurs versions a contaminé environ 10 % des environnements cloud dans les deux heures suivant la publication des mises à jour malveillantes, illustrant la vitesse de propagation d'une attaque supply chain visant des packages aussi omniprésents.

Le mécanisme d'attaque suivi par Sapphire Sleet repose sur l'ingénierie sociale ciblant les mainteneurs des packages. Dans le cas de debug et chalk, Amazon a établi que le mainteneur a été attiré par un message de phishing provenant d'un domaine imitant le site officiel de npm. Une fois la confiance établie, le groupe a obtenu les identifiants nécessaires pour publier des versions corrompues des packages directement via le registre npm officiel. Les versions malveillantes incorporaient un script de vidange de portefeuilles de cryptomonnaies, dissimulé dans le code légitime de la bibliothèque. Les projets ayant configuré des mises à jour automatiques de leurs dépendances ont été instantanément compromis sans aucune intervention humaine.

En mars 2026, Sapphire Sleet a récidivé en ciblant axios, la bibliothèque JavaScript de requêtes HTTP la plus populaire du registre npm avec plus de 100 millions de téléchargements hebdomadaires. Amazon attribue cette compromission au même groupe avec un niveau de confiance moyen, précisant que la méthode d'accès aux identifiants du mainteneur reste en cours d'investigation. La version malveillante d'axios a été retirée du registre en quelques heures après sa détection, mais le délai de contamination a suffi à exposer un nombre significatif de pipelines CI/CD qui téléchargent automatiquement les dernières versions disponibles.

Sapphire Sleet est un groupe de menace nord-coréen spécialisé dans les opérations de cybercriminalité à finalité financière, particulièrement dans le vol de cryptomonnaies. Le groupe est connu pour ses campagnes de spear-phishing ciblant les professionnels de la finance et de la blockchain, ainsi que pour ses opérations d'ingénierie sociale sophistiquées. Les attaques supply chain sur npm représentent une évolution tactique notable : plutôt que de cibler individuellement des organisations ou des individus, le groupe vise les dépendances partagées pour maximiser la portée de chaque opération. Une seule compromission réussie d'un package populaire peut potentiellement atteindre des centaines de milliers de projets simultanément.

L'attribution d'Amazon s'appuie sur plusieurs indicateurs : la cohérence des techniques d'ingénierie sociale avec les opérations connues du groupe, les schémas d'infrastructure de commande et contrôle identifiés dans les scripts malveillants, et la nature des wallets de cryptomonnaies ciblés par le code injecté. Amazon précise que le niveau de confiance est "moyen" plutôt que "élevé" car certains liens techniques entre les trois opérations restent circonstanciels plutôt que définitivement établis. The Record de Recorded Future rapporte que d'autres acteurs de la communauté du renseignement ont été consultés pour valider cette attribution.

Cette publication intervient alors que l'écosystème npm fait face à une pression croissante sur la sécurité de son modèle de publication. Le registre npm héberge plus de 2,5 millions de packages et enregistre des dizaines de milliards de téléchargements mensuels. La centralisation de ce volume de téléchargements sur un registre unique, combinée au modèle de publication qui repose sur la confiance accordée aux mainteneurs individuels, crée une surface d'attaque structurellement difficile à sécuriser sans réformes profondes du processus de publication.

Une escalade dans la stratégie supply chain nord-coréenne

Les attaques supply chain sur l'écosystème open source ne constituent pas un phénomène nouveau, mais le rapport d'Amazon marque une étape importante dans la compréhension des ambitions de Pyongyang dans ce domaine. Les précédentes opérations attribuées aux groupes nord-coréens dans l'espace open source ciblaient généralement des packages de niche ou des bibliothèques spécifiques à la blockchain. S'en prendre à debug et chalk — des dépendances transversales présentes dans pratiquement tous les projets JavaScript — représente un saut qualitatif dans l'échelle d'ambition et le potentiel de dommages.

Du point de vue stratégique, ces attaques s'inscrivent dans la mission de financement du régime nord-coréen via la cybercriminalité. Le Conseil de sécurité des Nations Unies estime que les groupes de hackers liés à Pyongyang ont dérobé entre 3 et 4 milliards de dollars en cryptomonnaies entre 2022 et 2025. L'injection de scripts de vidange de portefeuilles dans des packages npm massivement téléchargés permet d'atteindre des développeurs et des organisations qui manipulent des actifs numériques, avec un rapport effort/rendement potentiellement très favorable pour l'attaquant.

Pour les équipes de développement et de sécurité, cette affaire soulève des questions fondamentales sur la gestion des dépendances open source. La pratique courante consistant à configurer les gestionnaires de paquets pour télécharger automatiquement les dernières versions disponibles — commode pour bénéficier rapidement des correctifs de sécurité — crée paradoxalement une vulnérabilité majeure face aux attaques supply chain. Un seul compte compromis chez un mainteneur de package critique peut déclencher une contamination instantanée de milliers de pipelines CI/CD dans le monde entier. Les outils de surveillance des dépendances (Software Composition Analysis, ou SCA) peuvent détecter ces compromissions, mais seulement si les signatures malveillantes sont connues au moment de l'analyse.

À plus long terme, cet incident ravive le débat sur la gouvernance des registres de packages open source. Des initiatives comme npm's provenance attestations, Sigstore pour la signature des artefacts, et les discussions autour d'une authentification renforcée des mainteneurs prennent une urgence nouvelle après cette série d'attaques. La fragilité du modèle de confiance implicite accordé aux mainteneurs de packages populaires est désormais documentée avec des exemples concrets et un acteur étatique clairement identifié.

Ce qu'il faut retenir

• Sapphire Sleet a compromis debug, chalk et axios via l'ingénierie sociale contre leurs mainteneurs, contaminant jusqu'à 10 % des environnements cloud en deux heures lors de la vague de septembre 2025.
• Les scripts malveillants intégrés dans les packages visaient à drainer les portefeuilles de cryptomonnaies, confirmant la finalité financière des opérations nord-coréennes.
• Les équipes de développement doivent immédiatement vérifier leurs lockfiles, activer les attestations de provenance npm et mettre en place une surveillance SCA des mises à jour de dépendances critiques.