Axios compromis : Google accuse le groupe nord-coréen

Google a formellement attribué la compromission du package npm Axios au groupe nord-coréen UNC1069, confirmant l'hypothèse d'une opération étatique visant l'une des bibliothèques JavaScript les plus utilisées au monde. Avec plus de 100 millions de téléchargements hebdomadaires, Axios est le client HTTP de référence de l'écosystème Node.js, présent dans environ 80 % des environnements cloud et dans des dizaines de milliers d'applications d'entreprise. L'attaque Axios supply chain UNC1069 illustre la maturité croissante des acteurs liés à Pyongyang, désormais capables de compromettre les dépendances en amont plutôt que de cibler directement leurs victimes finales. Le code malveillant injecté visait l'exfiltration de portefeuilles de cryptomonnaies et de secrets d'authentification. Pour les équipes sécurité, cet incident impose une révision urgente des pratiques de gestion des dépendances et de vérification d'intégrité des paquets.

Comment le mainteneur a été piégé

L'attaque a débuté plusieurs semaines avant la publication des versions malveillantes. Les opérateurs d'UNC1069 ont ciblé Jason Saayman, mainteneur principal d'Axios, via une campagne d'ingénierie sociale minutieusement préparée. Ils ont créé une fausse identité d'entreprise, clonant le branding et jusqu'aux profils des fondateurs d'une société légitime, puis ont invité Saayman dans un workspace Slack frauduleux.

Ce workspace contenait des canaux réalistes avec une activité simulée, des profils fictifs se faisant passer pour des employés et d'autres mainteneurs open source. Cette mise en scène élaborée a permis aux attaquants d'obtenir les identifiants npm de Saayman. Selon BleepingComputer, la méthode exacte de compromission du compte a impliqué un faux correctif d'erreur Microsoft Teams que la victime a été amenée à exécuter.

Une fois l'accès obtenu, les attaquants ont agi avec une rapidité chirurgicale : les deux branches de release (1.x et 0.x) ont été compromises en moins de 40 minutes. Les versions malveillantes intégraient des payloads précompilés pour trois systèmes d'exploitation, avec un mécanisme d'autodestruction forensique rendant l'analyse post-incident plus complexe. Cette attaque fait écho à d'autres compromissions supply chain récentes comme le piratage de CPUID et la backdoor dans Smart Slider 3 Pro.

Pourquoi c'est important

Cette attaque illustre l'industrialisation des opérations supply chain par des acteurs étatiques. La Corée du Nord, via des groupes comme UNC1069, cible désormais systématiquement l'écosystème open source pour des motivations financières — le vol de cryptomonnaies restant une source majeure de revenus pour le régime. La compromission d'un package aussi central qu'Axios aurait pu avoir des conséquences catastrophiques si elle n'avait pas été détectée rapidement.

L'incident met également en lumière la fragilité du modèle de confiance de npm. Un seul mainteneur compromis suffit à distribuer du code malveillant à des millions de développeurs et d'environnements de production. Google et d'autres acteurs appellent à renforcer les mécanismes de signature et de vérification des packages, ainsi qu'à généraliser l'authentification matérielle pour les comptes à haute visibilité. Ce type de menace s'inscrit dans la continuité des 1 700 packages malveillants nord-coréens récemment découverts sur npm et PyPI.

Ce qu'il faut retenir

• Vérifiez vos dépendances : si vous utilisez Axios, assurez-vous de ne pas avoir installé les versions 1.14.1 ou 0.30.4 — mettez à jour vers les versions patchées
• Activez le lockfile strict (package-lock.json / yarn.lock) et auditez régulièrement vos dépendances avec npm audit ou des outils comme Socket.dev
• Pour les mainteneurs de projets populaires : activez impérativement l'authentification matérielle (clé FIDO2) sur vos comptes npm et GitHub

Cette attaque s'inscrit dans une escalade documentée des campagnes de compromission de la chaîne d'approvisionnement logicielle imputées à des acteurs étatiques nord-coréens. Le cluster UNC1069, suivi par les équipes de renseignement de Google (Mandiant), est associé à des sous-groupes déjà identifiés dans des vols massifs de cryptomonnaies et des opérations de collecte de renseignement, notamment via de faux recruteurs LinkedIn ou de fausses offres d'emploi ciblant des développeurs. La méthode employée contre Axios — infiltration sociale de longue durée d'un mainteneur unique disposant de droits de publication — rappelle des précédents majeurs : le backdoor XZ Utils (CVE-2024-3094) découvert en 2024, où l'attaquant avait passé plus de deux ans à gagner la confiance du mainteneur historique, ou encore la compromission d'ua-parser-js en 2021 et d'event-stream en 2018. Ce qui distingue l'incident Axios, c'est la vitesse d'exécution : moins de 40 minutes entre la prise de contrôle du compte npm et la publication des paquets piégés, un délai qui laisse peu de marge aux mécanismes de détection automatisée classiques.

L'impact sectoriel potentiel est considérable compte tenu de la position d'Axios comme dépendance transitive dans un nombre incalculable de projets JavaScript et Node.js, y compris des frameworks backend, des pipelines CI/CD et des applications critiques en entreprise. Les experts en sécurité de la chaîne d'approvisionnement soulignent que ce type d'attaque cible délibérément des bibliothèques à très fort taux d'adoption plutôt que des cibles finales, maximisant ainsi la portée d'un accès initial unique. Cette attribution formelle par Google renforce également un constat récurrent des agences de cybersécurité occidentales (CISA, ANSSI) : les acteurs nord-koréens diversifient leurs vecteurs au-delà du phishing classique et des exploits zero-day pour investir massivement dans l'ingénierie sociale ciblant l'écosystème open source, un maillon souvent sous-protégé malgré son rôle critique dans l'infrastructure numérique mondiale.