Corée du Nord : 1 700 paquets malveillants npm et PyPI

Ce qui s'est passé

La campagne nord-coréenne baptisée Contagious Interview vient de franchir un nouveau palier en industrialisant la compromission de la chaîne d'approvisionnement logicielle. Selon The Hacker News, le groupe UNC1069 — dont les activités recoupent celles de BlueNoroff, Sapphire Sleet et Stardust Chollima — a diffusé près de 1 700 paquets malveillants à travers quatre écosystèmes majeurs, au premier rang desquels npm, PyPI et Go. Loin d'un simple test, cette supply chain attaque npm et multi-registres traduit un véritable changement d'échelle : les opérateurs ne se contentent plus de piéger quelques développeurs par ingénierie sociale, ils empoisonnent directement les dépôts publics dont dépendent des milliers de projets. Les charges déposées visent le vol d'identifiants, la ponction de portefeuilles de cryptomonnaies et l'installation de portes dérobées persistantes. Pour les équipes techniques, le risque se déplace désormais vers chaque installation de dépendance.

Parmi les paquets identifiés figurent notamment dev-log-core, logger-base, logkitx et pino-debugger sur npm, ainsi que logutilkit, fluxhttp et license-utils-kit sur PyPI. Ces noms sont délibérément choisis pour ressembler à des librairies de logging et d'utilitaires couramment utilisées par les développeurs. Une fois installés, ils déploient des implants permettant le vol de credentials et l'exfiltration de données.

En parallèle, une alliance de sécurité a bloqué 164 domaines liés à UNC1069 entre le 6 février et le 7 avril 2026. Ces domaines usurpaient l'identité de services populaires comme Microsoft Teams et Zoom pour piéger les développeurs via des campagnes d'ingénierie sociale. Cette infrastructure de phishing servait de vecteur initial pour inciter les victimes à installer les paquets compromis.

Pourquoi c'est important

L'ampleur de cette campagne marque une escalade significative des attaques supply chain nord-coréennes. Avec 1 700 paquets répartis sur quatre écosystèmes, le filet est exceptionnellement large. Les développeurs qui installent une dépendance sans vérification approfondie peuvent compromettre l'ensemble de leur pipeline CI/CD et, par extension, les applications déployées en production.

L'extension aux écosystèmes Go et Rust est particulièrement préoccupante. Ces langages, souvent utilisés pour des composants critiques d'infrastructure et de sécurité, étaient jusqu'ici relativement épargnés par les attaques supply chain massives. Cette diversification montre que les attaquants adaptent leurs tactiques à l'évolution des pratiques de développement.

Ce qu'il faut retenir

• Auditer systématiquement les nouvelles dépendances avant installation : vérifier l'auteur, la date de publication, le nombre de téléchargements et le code source.
• Utiliser des outils d'analyse de composition logicielle (SCA) pour détecter les paquets suspects dans vos projets existants.
• Mettre en place un registre de paquets privé avec liste blanche pour contrôler les dépendances autorisées dans votre organisation.

particulièrement recherchés par les attaquants pour leur capacité à s'intégrer discrètement dans des chaînes de build automatisées. Un paquet Go compromis intégré dans un microservice backend, ou une crate Rust malveillante utilisée dans un composant embarqué, peut rester indétecté pendant des semaines, le temps que les outils de SCA (Software Composition Analysis) traditionnels, historiquement calibrés sur npm et PyPI, s'adaptent à ces écosystèmes plus récents et moins surveillés.

Le volume financier associé à ces opérations reste difficile à évaluer précisément, mais il s'inscrit dans une tendance documentée depuis plusieurs années : les groupes affiliés au régime nord-coréen, dont Lazarus Group, ont détourné plusieurs milliards de dollars en cryptomonnaies via des attaques de la chaîne d'approvisionnement logicielle, notamment lors des incidents 3CX en 2023 et JumpCloud la même année. La campagne Contagious Interview s'inscrit dans cette continuité, avec une particularité : elle cible directement les développeurs individuels via de fausses offres d'emploi et de faux tests techniques, plutôt que les infrastructures d'entreprise.

Un mode opératoire éprouvé depuis 2022

Contagious Interview n'est pas une opération isolée. Documentée pour la première fois fin 2022 par les chercheurs de Unit 42 (Palo Alto Networks), cette campagne repose sur un scénario social bien rodé : les attaquants se font passer pour des recruteurs sur LinkedIn, GitHub ou des plateformes freelance, proposent des entretiens techniques fictifs, puis demandent aux candidats de cloner un dépôt de code ou d'installer un paquet pour « passer un test ». Les charges utiles historiquement associées à cette campagne, BeaverTail et InvisibleFerret, combinent vol d'identifiants de portefeuilles cryptographiques, exfiltration de données de navigateur et déploiement de portes dérobées persistantes.

Ce qui distingue l'escalade révélée en 2026, c'est le passage d'une poignée de dépôts ciblés à une pollution industrialisée des registres publics eux-mêmes. Publier 1 700 paquets sur quatre écosystèmes suppose une automatisation poussée de la création de comptes développeurs, de la génération de descriptions crédibles et du contournement des mécanismes de modération de npm, PyPI, pkg.go.dev et crates.io. Cette mécanisation rapproche les tactiques nord-coréennes de celles observées chez des acteurs financièrement motivés plus larges, brouillant la frontière entre cybercriminalité classique et opérations étatiques.

Sur le plan sectoriel, les entreprises les plus exposées sont celles dont les équipes de développement s'appuient fortement sur des dépendances tierces sans processus de revue centralisé : startups en forte croissance, éditeurs de logiciels SaaS et organisations pratiquant le DevSecOps sans gouvernance stricte des artefacts open source. Pour ces structures, un seul développeur piégé par une fausse offre d'emploi peut suffire à introduire un implant dans le pipeline CI/CD, avec un risque de propagation vers les environnements de production si les scans de dépendances ne sont pas systématiques à chaque merge.