8 min de lecture<\/p>\n
Le 31 mars 2026, l\u2019entreprise de cybers\u00e9curit\u00e9 StepSecurity a d\u00e9couvert un cheval de Troie d\u2019acc\u00e8s \u00e0 distance (RAT) dans deux versions pirat\u00e9es du paquet npm Axios \u2013 l\u2019une des biblioth\u00e8ques JavaScript les plus utilis\u00e9es au monde, avec plus de 100 millions de t\u00e9l\u00e9chargements par semaine. L\u2019attaque exploitait une d\u00e9pendance falsifi\u00e9e, un compte de mainteneur compromis et un serveur C2 pour installer des portes d\u00e9rob\u00e9es multiplateformes sur les machines des d\u00e9veloppeurs. Elle est consid\u00e9r\u00e9e comme l\u2019une des attaques par cha\u00eene d\u2019approvisionnement les plus sophistiqu\u00e9es de l\u2019histoire de l\u2019\u00e9cosyst\u00e8me npm.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Depuis plus de dix ans, Axios est l\u2019une des biblioth\u00e8ques JavaScript les plus populaires pour les requ\u00eates HTTP. Bien que les environnements d\u2019ex\u00e9cution modernes comme Node.js et Deno prennent d\u00e9sormais en charge l\u2019API Fetch native, des millions de d\u00e9veloppeurs continuent de privil\u00e9gier Axios pour son API plus conviviale, sa transformation automatique en JSON et ses intercepteurs int\u00e9gr\u00e9s. Cette popularit\u00e9 en a fait une cible id\u00e9ale.<\/p>\n Le 30 mars 2026 \u00e0 23h59 UTC, un attaquant a publi\u00e9 la version 4.2.1 du paquet npm plain-crypto-js \u2013 un paquet ressemblant \u00e0 s\u2019y m\u00e9prendre au l\u00e9gitime et largement utilis\u00e9 crypto-js. Vingt-deux minutes plus tard, la version manipul\u00e9e 1.14.1 d\u2019Axios, tagu\u00e9e \u00ab\u00a0latest\u00a0\u00bb, a suivi. \u00c0 01h00 UTC, la version 0.30.4, tagu\u00e9e \u00ab\u00a0legacy\u00a0\u00bb, est \u00e9galement apparue. Les deux versions d\u2019Axios int\u00e9graient plain-crypto-js comme nouvelle d\u00e9pendance d\u2019ex\u00e9cution.<\/p>\n L\u2019attaque avait \u00e9t\u00e9 soigneusement orchestr\u00e9e. Dix-huit heures plus t\u00f4t, l\u2019attaquant avait publi\u00e9 une version inoffensive 4.2.0 de plain-crypto-js \u2013 une version leurre qui n\u2019a d\u00e9clench\u00e9 aucune alerte lors des scans automatis\u00e9s. Ce n\u2019est qu\u2019avec la version 4.2.1 que le v\u00e9ritable code malveillant a \u00e9t\u00e9 introduit.<\/p>\n Normalement, les versions d\u2019Axios sont publi\u00e9es via GitHub Actions. Les versions pirat\u00e9es, en revanche, ont \u00e9t\u00e9 directement publi\u00e9es via un compte npm compromis. L\u2019attaquant avait pris le contr\u00f4le du compte du mainteneur principal, jasonsaayman, et remplac\u00e9 l\u2019adresse e-mail enregistr\u00e9e par une adresse Proton Mail. \u00c0 ce jour (avril 2026), les d\u00e9tails exacts de cette compromission restent non confirm\u00e9s publiquement.<\/p>\n npm a retir\u00e9 les deux versions en deux \u00e0 trois heures environ. Pour un paquet comptant plus de 100 millions de t\u00e9l\u00e9chargements hebdomadaires, m\u00eame quelques heures repr\u00e9sentent une fen\u00eatre critique.<\/p>\n Mesure imm\u00e9diate requise<\/p>\n V\u00e9rifiez votre fichier package.json<\/strong> pour d\u00e9tecter axios@1.14.1<\/strong> ou axios@0.30.4<\/strong>. Si le paquet plain-crypto-js<\/strong> est pr\u00e9sent dans vos node_modules<\/strong>, consid\u00e9rez le syst\u00e8me comme compromis.<\/p>\n Versions s\u00fbres : axios@1.14.0<\/strong> et axios@0.30.3<\/strong>.<\/p>\n<\/div>\n Le code source d’Axios lui-m\u00eame ne contenait aucun code malveillant. La manipulation se limitait \u00e0 l’ajout de plain-crypto-js comme d\u00e9pendance dans le fichier package.json. Quiconque n’aurait audit\u00e9 que le code d’Axios n’aurait rien trouv\u00e9. L’arme v\u00e9ritable se cachait dans la nouvelle d\u00e9pendance.<\/p>\n Le paquet plain-crypto-js contenait un script postinstall nomm\u00e9 setup.js. D\u00e8s qu’un d\u00e9veloppeur ex\u00e9cutait npm install, un JavaScript obscurci par un double chiffrement XOR s’ex\u00e9cutait en arri\u00e8re-plan – ce qu’on appelle le RAT-Dropper. Celui-ci op\u00e9rait en quatre phases :<\/p>\n Phase 1 – Identification du syst\u00e8me :<\/strong> Le script identifie le syst\u00e8me d’exploitation de la machine cible. Les syst\u00e8mes support\u00e9s sont macOS, Windows et Linux.<\/p>\n Phase 2 – T\u00e9l\u00e9chargement de la charge utile :<\/strong> Le dropper \u00e9tablit une connexion avec le serveur de commande et contr\u00f4le (domaine : sfrclak.com, IP : 142.11.206.73, port 8000). De l\u00e0, un binaire sp\u00e9cifique \u00e0 la plateforme est t\u00e9l\u00e9charg\u00e9.<\/p>\n Phase 3 – Ex\u00e9cution :<\/strong> Le RAT est \u00e9crit sur le disque dur et lanc\u00e9. Sous macOS, il s’installe sous le nom com.apple.act.mond dans le cache de la biblioth\u00e8que et est ex\u00e9cut\u00e9 via \/bin\/zsh. Sous Windows, il se fait passer pour wt.exe (Windows Terminal) dans %PROGRAMDATA% et utilise un dropper VBScript. Sous Linux, un RAT Python est t\u00e9l\u00e9charg\u00e9 vers \/tmp\/ld.py et lanc\u00e9 en arri\u00e8re-plan avec nohup.<\/p>\n Phase 4 – Effacement des traces :<\/strong> Le script postinstall s’auto-efface et remplace son propre fichier package.json par la version propre 4.2.0. Un npm list ult\u00e9rieur affiche la version 4.2.0. Un npm audit ne d\u00e9tecte aucune anomalie. L’infection est active, mais invisible.<\/p>\n Une fois install\u00e9, le RAT a acc\u00e8s \u00e0 tout ce qui se trouve sur le syst\u00e8me compromis : identifiants AWS, cl\u00e9s API OpenAI, tokens GitHub, cl\u00e9s SSH, fichiers .env contenant des mots de passe de bases de donn\u00e9es. Dans les environnements CI\/CD, les cons\u00e9quences peuvent \u00eatre encore plus graves : on y trouve souvent des identifiants de d\u00e9ploiement, des cl\u00e9s de signature et l’acc\u00e8s aux syst\u00e8mes de production. Un serveur de build compromis peut devenir la porte d’entr\u00e9e pour toute l’infrastructure.<\/p>\n StepSecurity a d\u00e9couvert l’attaque gr\u00e2ce \u00e0 son AI Package Analyst et \u00e0 son outil de monitoring en temps r\u00e9el Harden-Runner dans des pipelines GitHub Actions instrument\u00e9s. L’outil enregistre les connexions r\u00e9seau sortantes pendant npm install et a d\u00e9clench\u00e9 une alerte lorsqu’un serveur C2 inconnu a \u00e9t\u00e9 contact\u00e9.<\/p>\n \n\u00ab\u00a0Le conseil de s\u00e9curit\u00e9 le plus important depuis des ann\u00e9es : gardez vos paquets \u00e0 jour. Depuis peu, on a l’impression que c’est justement le moyen le plus rapide de se faire compromettre.\u00a0\u00bb Les attaques sur la cha\u00eene d’approvisionnement (supply-chain) ciblant npm ne sont pas nouvelles. L’incident event-stream de 2018 est rest\u00e9 inaper\u00e7u pendant des mois et visait les portefeuilles de cryptomonnaies. La compromission de ua-parser-js en 2021 a touch\u00e9 un paquet comptabilisant sept millions de t\u00e9l\u00e9chargements par semaine et a diffus\u00e9 des voleurs de credentials. Le sabotage de colors.js en 2022 \u00e9tait une action de protestation politique men\u00e9e par le mainteneur lui-m\u00eame. Chacun de ces incidents a \u00e9branl\u00e9 l’\u00e9cosyst\u00e8me \u2013 et pourtant, l’attaque contre Axios repr\u00e9sente une escalade sans pr\u00e9c\u00e9dent.<\/p>\n L’ampleur de la cible est in\u00e9dite : Axios figure parmi les dix paquets npm les plus utilis\u00e9s. Le rayon d’impact (blast radius) d’une compromission r\u00e9ussie concerne potentiellement des centaines de milliers de projets et de pipelines CI\/CD \u00e0 travers le monde.<\/p>\n La sophistication d\u00e9passe largement celle des attaques pr\u00e9c\u00e9dentes. Au lieu d’injecter directement du code malveillant dans le code source, l’attaquant a utilis\u00e9 une injection de d\u00e9pendances \u00e9tag\u00e9e avec activation diff\u00e9r\u00e9e et effacement automatique des traces. Apr\u00e8s l’installation, le syst\u00e8me semblait propre \u2013 un camouflage actif qui va bien au-del\u00e0 d’une simple dissimulation passive. StepSecurity a enregistr\u00e9 le premier contact avec un serveur C2 dans les deux secondes suivant un npm install<\/em> sur un runner instrument\u00e9 \u2013 sans ce monitoring automatis\u00e9, l’attaque serait probablement rest\u00e9e inaper\u00e7ue beaucoup plus longtemps.<\/p>\n La comparaison avec les incidents npm ant\u00e9rieurs met en lumi\u00e8re cette escalade : lors de l’attaque event-stream en 2018, un attaquant a pris le contr\u00f4le d’un paquet abandonn\u00e9 par ing\u00e9nierie sociale et a plac\u00e9 du code malveillant pendant des mois, ciblant les portefeuilles Bitcoin. Avec ua-parser-js en 2021, le compte du mainteneur a \u00e9t\u00e9 pirat\u00e9 et un voleur de credentials a \u00e9t\u00e9 diffus\u00e9 \u2013 comme dans le cas d’Axios, mais sans la dissimulation multi-niveaux ni les payloads multiplateformes. Le sabotage de colors.js en 2022 \u00e9tait une action de protestation d\u00e9lib\u00e9r\u00e9e du mainteneur, et non une compromission externe.<\/p>\n S’ajoute \u00e0 cela la question de l’attribution : Microsoft Threat Intelligence attribue l’attaque au groupe Sapphire Sleet, tandis que Google Threat Intelligence Group l’associe au groupe UNC1069. Les deux d\u00e9nominations renvoient \u00e0 des acteurs nord-cor\u00e9ens motiv\u00e9s par des int\u00e9r\u00eats financiers. Elastic Security Labs a identifi\u00e9 des chevauchements entre le binaire macOS et WAVESHAPER, une backdoor nord-cor\u00e9enne connue. Si cette classification se confirme, il s’agirait du premier cas document\u00e9 o\u00f9 un acteur \u00e9tatique compromet un paquet npm parmi les 100 plus populaires.<\/p>\n La compromission ne concerne pas uniquement les d\u00e9veloppeurs JavaScript. Toute organisation utilisant Axios dans ses projets ou ses pipelines CI\/CD doit prioriser les mesures suivantes :<\/p>\n L\u2019incident Axios r\u00e9v\u00e8le un probl\u00e8me fondamental de l\u2019\u00e9cosyst\u00e8me npm : un seul compte dot\u00e9 d\u2019un token de publication valide peut diffuser du code malveillant sur des millions de syst\u00e8mes. npm a progress\u00e9 avec les *Trusted Publishers* et l\u2019authentification bas\u00e9e sur OIDC \u2013 mais l\u2019attaquant a contourn\u00e9 ce m\u00e9canisme en prenant le contr\u00f4le du compte du mainteneur.<\/p>\n Pour les RSSI et les \u00e9quipes de s\u00e9curit\u00e9 IT, une priorit\u00e9 s\u2019impose : la s\u00e9curit\u00e9 de la cha\u00eene d\u2019approvisionnement logicielle doit atteindre le m\u00eame niveau d\u2019importance que la s\u00e9curit\u00e9 r\u00e9seau ou des terminaux. La surveillance automatis\u00e9e des d\u00e9pendances, l\u2019analyse en temps r\u00e9el dans les pipelines CI\/CD et des politiques strictes pour les paquets tiers ne sont plus des options, mais des n\u00e9cessit\u00e9s.<\/p>\n Concr\u00e8tement, cela signifie que chaque organisation doit disposer d\u2019une *Software Bill of Materials* (SBOM) \u00e0 jour, d\u2019alertes automatis\u00e9es en cas de modifications inhabituelles des d\u00e9pendances, et d\u2019une politique claire d\u00e9finissant la vitesse \u00e0 laquelle les nouvelles versions de paquets peuvent \u00eatre d\u00e9ploy\u00e9es en production. L\u2019utilisation syst\u00e9matique des fichiers de verrouillage, la d\u00e9sactivation par d\u00e9faut des scripts *postinstall* dans les pipelines CI\/CD et la configuration de politiques de d\u00e9lai minimal avant publication \u00e9liminent une grande partie de cette surface d\u2019attaque. La prochaine attaque ne visera pas Axios \u2013 mais elle exploitera le m\u00eame m\u00e9canisme.<\/p>\n Uniquement si vous avez install\u00e9 la version 1.14.1 ou 0.30.4. Toutes les autres versions ne sont pas affect\u00e9es. V\u00e9rifiez votre fichier package.json et vos fichiers de verrouillage (package-lock.json, yarn.lock, pnpm-lock.yaml).<\/p>\n Non. Si le RAT a d\u00e9j\u00e0 \u00e9t\u00e9 ex\u00e9cut\u00e9, il s\u2019est copi\u00e9 dans les chemins syst\u00e8me et a supprim\u00e9 le script *postinstall*. Un simple r\u00e9trogradage d\u2019Axios ne supprime pas le cheval de Troie. Consid\u00e9rez le syst\u00e8me comme compromis et renouvelez tous les identifiants.<\/p>\n Le vecteur d\u2019attaque exact n\u2019est pas confirm\u00e9 publiquement \u00e0 ce jour (avril 2026). Il est \u00e9tabli que l\u2019adresse e-mail enregistr\u00e9e du compte npm jasonsaayman a \u00e9t\u00e9 remplac\u00e9e par une adresse Proton Mail et que les publications ont contourn\u00e9 le pipeline GitHub Actions habituel.<\/p>\n \u00c0 ce jour (avril 2026), aucune CVE n\u2019a \u00e9t\u00e9 attribu\u00e9e. Plusieurs entreprises de cybers\u00e9curit\u00e9 ont document\u00e9 l\u2019incident, mais l\u2019attribution formelle d\u2019une CVE reste en attente.<\/p>\n npm n\u2019effectue pas d\u2019analyse comportementale automatis\u00e9e lors de la publication. Les paquets sont principalement v\u00e9rifi\u00e9s \u00e0 l\u2019aide de signatures de malware connues. Un script *postinstall* contactant un serveur externe n\u2019est pas techniquement inhabituel \u2013 de nombreux paquets l\u00e9gitimes utilisent des m\u00e9canismes similaires pour les \u00e9tapes de configuration. La d\u00e9tection a \u00e9t\u00e9 r\u00e9alis\u00e9e gr\u00e2ce \u00e0 une surveillance externe, et non par les m\u00e9canismes de protection propres \u00e0 npm.<\/p>\n Utilisez syst\u00e9matiquement les fichiers de verrouillage, ex\u00e9cutez npm ci au lieu de npm install dans vos pipelines CI\/CD, activez –ignore-scripts pour les paquets non fiables et misez sur des outils de surveillance en temps r\u00e9el. Une politique de d\u00e9lai minimal avant publication emp\u00eache l\u2019installation automatique des versions fra\u00eechement publi\u00e9es. En compl\u00e9ment, les \u00e9quipes devraient maintenir une *Software Bill of Materials* (SBOM) et configurer des alertes automatis\u00e9es en cas de modifications des d\u00e9pendances.<\/p>\n Source de l’image : g\u00e9n\u00e9r\u00e9e par IA (mai 2026), certificat C2PA int\u00e9gr\u00e9 \u00e0 l’image<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"Des hackers nord-cor\u00e9ens ont compromis deux versions du paquet npm Axios et inject\u00e9 un cheval de Troie d’acc\u00e8s \u00e0 distance multiplateforme. Avec plus de 100 millions de t\u00e9l\u00e9chargements hebdomadaires, une fen\u00eatre de trois heures a suffi pour d\u00e9montrer une nouvelle dimension des attaques de cha\u00eene d’approvisionnement.","protected":false},"author":50,"featured_media":15280,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Attaque npm","_yoast_wpseo_title":"Attaque npm Axios : comment un compte de mainteneur pirat\u00e9 a menac\u00e9 des millions","_yoast_wpseo_metadesc":"Attaque de la cha\u00eene d'approvisionnement sur Axios npm : 2 versions manipul\u00e9es avec RAT.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[252],"tags":[],"class_list":["post-7817","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualites"],"evm_reading_time_minutes":12,"wpml_language":"fr","wpml_translation_of":7751,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7817","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=7817"}],"version-history":[{"count":4,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7817\/revisions"}],"predecessor-version":[{"id":16132,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7817\/revisions\/16132"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/15280"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=7817"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=7817"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=7817"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
Ce qui s\u2019est pass\u00e9<\/h2>\n
Anatomie de l’attaque : du script postinstall au serveur C2<\/h2>\n
\n– Note de la r\u00e9daction<\/cite>\n<\/p><\/blockquote>\nPourquoi cette attaque marque un tournant<\/h2>\n
Ce que les \u00e9quipes IT doivent faire maintenant<\/h2>\n
\n
La faille structurelle persiste<\/h2>\n
Foire aux questions<\/h2>\n
Suis-je concern\u00e9 si j\u2019utilise Axios ?<\/h3>\n
Est-il suffisant de d\u00e9sinstaller la version compromise d\u2019Axios ?<\/h3>\n
Comment le compte du mainteneur a-t-il \u00e9t\u00e9 compromis ?<\/h3>\n
Existe-t-il un num\u00e9ro CVE pour cet incident ?<\/h3>\n
Pourquoi npm n\u2019a-t-il pas d\u00e9tect\u00e9 plus rapidement les versions malveillantes ?<\/h3>\n
Que puis-je faire pour limiter les attaques sur la cha\u00eene d\u2019approvisionnement en g\u00e9n\u00e9ral ?<\/h3>\n
Les recommandations de lecture de la r\u00e9daction<\/h2>\n
\n
Plus d’articles du r\u00e9seau MBF Media<\/h2>\n
\n