New Wave of DPRK Attacks Uses AI-Inserted npm Malware, Fake Firms, and RATs

Menace persistante : Les campagnes de cyberespionnage nord-coréennes visent les développeurs

Des acteurs nord-coréens (groupes Famous Chollima, BlueNoroff/Lazarus) mènent des campagnes sophistiquées d’empoisonnement de la chaîne d’approvisionnement logicielle via npm et PyPI. Ces attaques ciblent principalement les développeurs Web3 en exploitant des outils d’IA et des techniques d’ingénierie sociale.

Points clés :

• Utilisation de l’IA : Les attaquants utilisent des modèles de langage (LLM) comme Claude pour générer du code malveillant et insérer des dépendances compromises dans des projets légitimes.
• Stratégie multi-couches : Les attaquants déploient des paquets “appâts” (inoffensifs en apparence) qui téléchargent des charges utiles malveillantes en seconde phase pour éviter la détection.
• Ingénierie sociale : Création de fausses entreprises, de profils LinkedIn crédibles et de sites de recrutement pour attirer les développeurs via des tests de codage infectés par des RAT (Remote Access Trojans).
• Évolution technique : Transition des scripts JavaScript simples vers des binaires compilés en Rust (via NAPI-RS) pour exfiltrer des données sensibles (clés AWS, jetons GitHub, portefeuilles crypto).

Vulnérabilités :

• Dépendances transitives : Injection de code malveillant au plus profond des arborescences de dépendances de projets populaires.
• Typosquatting : Utilisation de noms de paquets imitant des bibliothèques légitimes.
• Note : Aucune CVE spécifique n’est associée à ces campagnes, car il s’agit d’abus intentionnels de fonctionnalités (Supply Chain Attacks) plutôt que d’exploits de vulnérabilités logicielles classiques.

Recommandations :

• Audit des dépendances : Vérifier systématiquement les dépendances indirectes dans les fichiers package-lock.json ou requirements.txt, particulièrement celles provenant de sources peu connues ou ajoutées récemment.
• Isolation : Exécuter les tests de code ou les outils de développement dans des environnements isolés (conteneurs, VM) ne contenant aucune donnée sensible ou clé d’API.
• Vigilance accrue : Se méfier des tests techniques d’entreprises peu connues sur les plateformes de recrutement, surtout si elles demandent de cloner des dépôts GitHub non vérifiés.
• Gestion des accès : Appliquer le principe du moindre privilège aux jetons d’accès et aux clés d’API ; ne jamais les stocker en texte clair dans des fichiers .env.

Source