Des hackers nord-coréens déploient 26 packages npm malveillants

Une nouvelle menace sur la chaîne d’approvisionnement met les développeurs en alerte. Des chercheurs en cybersécurité avertissent que des hackers nord-coréens ont mis en ligne 26 packages malveillants sur le registre npm. L’objectif est d’infecter les machines des développeurs et de voler des données sensibles.

GoPlus 中文社区发推提醒，朝鲜黑客向 npm 注册表发布了一组 26 个恶意软件包，这些恶意软件包都附带一个安装脚本（install.js），该脚本会在软件包安装过程中自动执行，进而运行位于“vendor/scrypt-js/version.js”中的恶意代码，…

— 吴说区块链 (@wublockchain12) March 3, 2026

L’alerte, partagée par la communauté GoPlus le 3 mars, relie la campagne au groupe de piratage bien connu « Famous Chollima ». Selon le rapport, les packages dissimulent un cheval de Troie d’accès à distance (RAT) qui s’active lors de l’installation. L’incident met en lumière les risques croissants au sein des écosystèmes open source, en particulier pour les développeurs Web3 et crypto.

Des packages malveillants cachés à la vue de tous

Les chercheurs indiquent que les attaquants ont publié 26 faux packages imitant des outils légitimes pour développeurs, notamment des bibliothèques de linting et des utilitaires. Chaque package contient un script install.js qui s’exécute automatiquement lors de l’installation. Une fois déclenché, le script lance un code dissimulé situé dans vendor/scrypt-js/version.js. Ce code télécharge discrètement un cheval de Troie d’accès à distance depuis une URL malveillante.

Comme les installations npm s’exécutent souvent automatiquement dans les environnements de développement, de nombreux utilisateurs peuvent ne pas remarquer l’infection. Les analystes en sécurité soulignent que cette tactique est efficace car elle exploite les flux de travail habituels des développeurs. En bref, le malware arrive déguisé en outil de routine.

Ce que peut faire le malware

Le RAT intégré offre aux attaquants un accès approfondi aux systèmes infectés. Selon l’alerte GoPlus, le malware peut effectuer plusieurs actions dangereuses. Il peut enregistrer les frappes au clavier, voler les données du presse-papiers et collecter les identifiants de navigateurs. Il analyse également les systèmes avec TruffleHog pour repérer des secrets exposés.

Dans les cas les plus graves, il tente de dérober des dépôts Git et des clés SSH. Pour les développeurs crypto, le risque est encore plus élevé. Des clés ou identifiants compromis peuvent conduire directement à des violations de portefeuilles ou à la compromission de projets. C’est pourquoi les équipes de sécurité classent cette campagne comme hautement critique.

Des liens avec le groupe Famous Chollima

Les enquêteurs ont attribué l’activité à l’opération de piratage nord-coréenne connue sous le nom de Famous Chollima. Ce groupe est suivi par des sociétés de cybersécurité depuis au moins 2018. Il a déjà ciblé des développeurs, des projets crypto et des plateformes financières.

Des analyses récentes suggèrent que la campagne utilise des techniques avancées d’obfuscation. Certains rapports évoquent des méthodes de stéganographie dissimulant des données de commande et de contrôle dans des textes apparemment inoffensifs. L’infrastructure du malware semble également répartie sur plusieurs services d’hébergement, ce qui complique les opérations de démantèlement. Ce schéma correspond aux précédentes opérations nord-coréennes, axées sur l’infiltration à long terme plutôt que sur des attaques rapides.

Les développeurs appelés à la vigilance

Les experts en sécurité exhortent les développeurs à vérifier l’origine des packages avant d’installer des dépendances. Même de petits projets peuvent devenir des points d’entrée pour des compromissions plus larges de la chaîne d’approvisionnement. GoPlus a spécifiquement conseillé d’éviter les packages signalés et d’examiner attentivement les arbres de dépendances.

Les équipes sont également encouragées à activer les lockfiles, les outils d’audit et la surveillance à l’exécution. L’incident rappelle une nouvelle fois que les écosystèmes open source restent une cible privilégiée pour les hackers liés à des États. À mesure que le développement Web3 et crypto progresse, les enjeux augmentent. Pour l’instant, les experts estiment que les bonnes pratiques de base, la vérification des packages et une confiance limitée demeurent la meilleure défense.