Sapphire Sleet : Pyongyang derrière les attaques npm axios

Amazon dévoile une campagne nord-coréenne systématique contre l'écosystème npm

Dans un billet de blog publié le 31 juillet 2026 sur le portail de sécurité d'Amazon Web Services, l'équipe AWS Security a révélé les conclusions d'une enquête de plusieurs mois portant sur une série d'attaques contre l'écosystème npm — le registre de packages JavaScript géré par GitHub/Microsoft et utilisé par la quasi-totalité des projets web modernes. AWS attribue ces attaques avec un degré élevé de confiance à Sapphire Sleet, un groupe de menace nord-coréen également connu sous les noms BlueNoroff et Stardust Chollima au sein de la communauté de threat intelligence.

Sapphire Sleet est un sous-groupe du collectif Lazarus, l'entité cyber affiliée au Bureau général de reconnaissance (RGB) de la Corée du Nord, la structure de renseignement militaire directement supervisée par le régime de Pyongyang. Spécialisé historiquement dans les attaques contre les institutions financières et les plateformes de cryptomonnaies — le groupe a dérobé des centaines de millions de dollars en actifs numériques selon les estimations de l'ONU —, Sapphire Sleet a progressivement élargi son périmètre d'activité pour inclure des opérations de compromission de la chaîne d'approvisionnement logicielle, probablement dans un objectif combiné de financement et d'espionnage industriel.

La chronologie des attaques documentées par Amazon s'étale sur plus d'un an. En mars 2025, Sapphire Sleet a compromis typo-crypto, un package npm utilisé dans de nombreux projets de finance décentralisée (DeFi) et d'outils de cryptographie JavaScript. L'attaque a permis au groupe d'affiner ses méthodes d'ingénierie sociale et de tester ses capacités d'injection dans l'écosystème npm à moindre risque de détection immédiate, typo-crypto étant suffisamment spécialisé pour que la majorité des équipes de sécurité ne le surveillent pas en priorité.

En septembre 2025, Sapphire Sleet a visé une cible d'une tout autre ampleur : les packages debug et chalk, deux librairies de développement extrêmement répandues dans l'écosystème JavaScript. Le package debug, qui fournit des fonctionnalités de journalisation de débogage, est une dépendance transitive présente dans des milliers de projets, y compris des frameworks majeurs comme Express.js. Chalk, qui gère la colorisation du texte dans les terminaux Node.js, est une dépendance directe ou transitive de pratiquement tous les outils de ligne de commande JavaScript. Selon les données collectées par AWS, la mise à jour malveillante de debug et chalk a touché environ 10 % des environnements cloud analysés dans les deux heures suivant sa publication sur le registre npm — une propagation d'une rapidité illustrant la puissance des attaques de la chaîne d'approvisionnement contre des packages à forte dépendance transitive.

La cible la plus significative de la campagne a été révélée en mars 2026 : axios, l'une des librairies JavaScript les plus utilisées au monde. Axios est un client HTTP basé sur des promesses compatible avec Node.js et les navigateurs, utilisé par des millions de développeurs pour effectuer des requêtes web dans leurs applications. Au moment de la compromission, axios enregistrait plus de 100 millions de téléchargements hebdomadaires sur npm — ce qui en fait l'une des librairies les plus téléchargées de l'écosystème JavaScript. La portée théorique de cette compromission, si elle n'avait pas été détectée rapidement, est difficile à surestimer : pratiquement toutes les applications Node.js effectuant des requêtes HTTP auraient pu être exposées.

La méthode d'attaque documentée par AWS Security repose sur une sophistication sociale plutôt que technique. Plutôt que d'exploiter des vulnérabilités dans l'infrastructure npm elle-même, Sapphire Sleet cible les mainteneurs de confiance des packages via des campagnes d'ingénierie sociale hautement personnalisées. Ces campagnes incluent des approches professionnelles — fausses offres d'emploi, demandes de collaboration sur des projets fictifs, sollicitations de conseil technique rémunéré — qui sont une signature bien documentée de ce groupe dans ses opérations contre l'industrie des cryptomonnaies. Une fois la confiance établie sur plusieurs semaines, les attaquants trouvent un prétexte pour obtenir les credentials de publication du mainteneur ciblé, ou pour lui faire exécuter un fichier malveillant qui vole ses tokens npm.

Une fois les credentials de publication obtenus, Sapphire Sleet publie une mise à jour du package contenant du code malveillant soigneusement minimisé et obfusqué pour ressembler à du code de maintenance légitime. Le code injecté, selon BleepingComputer qui a détaillé les conclusions d'AWS, établit une backdoor permettant l'exfiltration d'informations depuis les environnements où le package est installé : variables d'environnement (contenant souvent des clés API, des tokens d'accès aux services cloud, des mots de passe de bases de données), fichiers de configuration, et dans certains cas, exécution de commandes arbitraires. La nature de cette exfiltration est particulièrement dévastatrice dans les environnements CI/CD et de déploiement cloud, où axios et ses homologues sont souvent installés dans des contextes ayant accès à des secrets d'infrastructure critiques.

The Record (Recorded Future News) et Infosecurity Magazine ont relayé les conclusions d'AWS en soulignant l'ampleur inédite de la campagne. Il s'agit de l'opération de compromission de la chaîne d'approvisionnement npm la plus documentée et la plus directement attribuée à un acteur étatique à ce jour. La communauté de sécurité open source alertait depuis plusieurs années sur la vulnérabilité structurelle du modèle de gouvernance des registres de packages publics, où la publication de mises à jour repose sur la confiance accordée aux mainteneurs sans mécanisme robuste de vérification d'identité ou de signature cryptographique obligatoire.

La supply chain logicielle, talon d'Achille de l'économie numérique mondiale

L'opération Sapphire Sleet contre l'écosystème npm s'inscrit dans une tendance lourde documentée depuis l'affaire SolarWinds en 2020 : les attaquants étatiques et criminels ont compris que compromettre un composant logiciel largement utilisé offre un multiplicateur d'impact sans commune mesure avec les attaques directes contre des cibles individuelles. Au lieu de compromettre mille organisations une par une, il suffit de compromettre un seul package dont elles dépendent toutes.

Le rapport Verizon DBIR 2026 confirme cette tendance : les violations impliquant une tierce partie (fournisseurs, partenaires, composants open source) ont augmenté de 60 % en un an, passant de 30 % à 48 % de l'ensemble des violations documentées. L'écosystème npm est particulièrement vulnérable en raison de son modèle de gouvernance décentralisé, de l'absence d'obligation de signature cryptographique des packages, et de la prévalence des dépendances transitives profondes qui rendent difficile pour les équipes de développement de connaître exhaustivement tous les composants de leur chaîne logicielle.

Des solutions plus robustes existent et commencent à être adoptées : le framework SLSA (Supply chain Levels for Software Artifacts), la signature cryptographique des packages via Sigstore (déployée par npm depuis 2023 mais non obligatoire), et les Software Bills of Materials (SBOM) rendus obligatoires pour les fournisseurs du gouvernement américain depuis l'Executive Order sur la sécurité logicielle de 2021. En Europe, le Cyber Resilience Act (CRA), dont l'application progressive démarre en 2025-2027, imposera des exigences de traçabilité et de sécurité des composants logiciels open source pour les produits commercialisés dans l'UE.

Pour les équipes de développement, les entreprises et les DSI, l'affaire Sapphire Sleet est un rappel que la surface d'attaque de la supply chain logicielle ne se limite pas aux dépendances directes : les dépendances transitives — celles que vos dépendances importent elles-mêmes — représentent souvent 80 à 90 % de la surface totale et sont rarement auditées avec la même rigueur. La mise en place d'un inventaire complet des dépendances (SBOM), d'alertes automatiques sur les nouvelles publications de packages critiques et d'une politique de mise à jour progressive avec validation en environnement de test isolé est désormais une pratique de sécurité fondamentale, non optionnelle.

Ce qu'il faut retenir

• Sapphire Sleet (BlueNoroff, Corée du Nord) a compromis les packages npm typo-crypto (mars 2025), debug et chalk (septembre 2025), puis axios (mars 2026, 100M+ téléchargements/semaine) via ingénierie sociale ciblant les mainteneurs.
• La mise à jour malveillante exfiltre des secrets d'environnement (clés API, tokens cloud) depuis les pipelines CI/CD — un vecteur d'attaque particulièrement dévastateur dans les environnements DevOps.
• Actions immédiates : auditer les versions installées d'axios, debug et chalk, activer la signature Sigstore dans vos pipelines npm, et utiliser npm ci plutôt que npm install en production pour respecter le lock file.