Amazon découvre une vaste campagne de piratage nord-coréenne contre les logiciels open source

Un groupe de pirates informatiques lié à la Corée du Nord a été impliqué dans quatre compromissions de logiciels open source remontant à mars 2025, ont déclaré mercredi des chercheurs d’Amazon, élargissant considérablement la portée publique des efforts de Pyongyang visant à utiliser un code fiable pour atteindre un grand nombre de victimes potentielles et accéder aux systèmes des entreprises.

L’évaluation relie pour la première fois le même groupe de hackers motivés par l’argent aux compromissions de quatre principaux packages JavaScript (typo-crypto, debug, chalk et axios) que les développeurs utilisent comme éléments de base pour d’autres logiciels. Le package axios reçoit à lui seul plus de 100 millions de téléchargements chaque semaine, et sa compromission avait été auparavant attribuée au groupe nord-coréen.

Amazon a déclaré mercredi avoir découvert des preuves reliant l’acteur aux trois incidents précédents, sur la base de conclusions techniques incluant des cas de code réutilisé et des similitudes dans la manière dont les attaques ont été menées.

Amazon Threat Intelligence a attribué les campagnes au groupe avec une « confiance moyenne », selon un article de blog rédigé par CJ Moses, RSSI de la sécurité intégrée d’Amazon, dont la publication est prévue mercredi soir. Les cyber-intrus sont suivis par des chercheurs sous plusieurs noms, notamment Sapphire Sleet, Stardust Chollima, BlueNoroff, CageyChameleon et Alluring Pisces.

Dans chaque incident, les pirates ont trompé un responsable du logiciel de confiance et ont utilisé cet accès pour publier une mise à jour contenant du code malveillant, selon Amazon. Les organisations configurées pour télécharger automatiquement la dernière version de ces packages peuvent avoir extrait les mises à jour compromises directement dans leurs systèmes. Cette approche permet aux pirates de compromettre un petit nombre de packages largement utilisés tout en ayant potentiellement accès à des milliers de systèmes en aval, ce qui la rend plus efficace que de cibler les organisations individuellement.

Les logiciels open source (code qui peut être librement inspecté, modifié et réutilisé) sont à la base des systèmes d’exploitation, des serveurs Web, des outils de chiffrement et de nombreuses applications sur lesquelles les entreprises s’appuient quotidiennement partout dans le monde. Les projets dépendent souvent de responsables bénévoles pour examiner les modifications proposées, corriger les failles de sécurité et publier des mises à jour.

Ce modèle repose fortement sur la confiance. Les attaquants peuvent passer des semaines ou des mois à se faire passer pour des contributeurs légitimes, à corriger des bugs et à établir des relations avant de tenter de prendre le contrôle d’un projet établi ou de publier une mise à jour malveillante.

Cette dynamique a attiré l’attention en 2024, lorsqu’un compte fonctionnant sous le nom de « Jia Tan » a passé des années à gagner la confiance d’autres développeurs avant de tenter d’insérer une porte dérobée dans XZ Utils, un outil de compression de données largement utilisé inclus dans de nombreuses distributions Linux. La porte dérobée a été découverte avant de pouvoir être largement déployée.

« Franchement, la communauté open source recherche de bons citoyens car ces packages ne sont souvent pas maintenus par des personnes qui sont payées pour le faire à temps plein », a déclaré mercredi Rick Anthony, directeur principal du service de gestion des vulnérabilités Inspector d’Amazon, aux journalistes à Arlington, en Virginie. « Ils sont très accueillants pour quiconque souhaite contribuer. »

La Corée du Nord considère depuis longtemps les cyberopérations à la fois comme un outil de renseignement et une source de revenus. Ses pirates informatiques volent des cryptomonnaies, mènent des activités d’espionnage et extorquent des victimes, tandis que des agents se faisant passer pour des informaticiens à distance obtiennent des emplois dans des entreprises étrangères et reversent discrètement leurs salaires au régime. Amazon fait partie de ces entreprises, ont déclaré mercredi leurs dirigeants. Les responsables américains affirment que les recettes aident Pyongyang à échapper aux sanctions et à financer ses programmes d’armes nucléaires et de missiles balistiques.

« Pour un régime contraint par les sanctions, générer des revenus grâce à ces opérations signifie que plus l’efficacité est grande, plus ils obtiennent d’argent et plus ils peuvent utiliser cet argent pour faire des choses qui leur ont valu les sanctions au départ », a déclaré Moses aux journalistes. « Une compromission réussie de la chaîne d’approvisionnement peut donner accès à des centaines, voire plus, d’intrusions ciblées. »

Les résultats illustrent également à quel point les attaques open source sont de plus en plus difficiles à détecter.

Amazon a déclaré que les attaquants répartissent de plus en plus une opération malveillante entre plusieurs packages qui semblent inoffensifs lorsqu’ils sont examinés individuellement. Un package peut contenir des données cryptées, un autre le code nécessaire pour le déverrouiller et un troisième les instructions pour télécharger et exécuter la charge utile finale. Le comportement malveillant n’est visible que lorsque les composants sont utilisés ensemble.

L’IA rend également plus difficile la détection des logiciels malveillants, prévient le blog. Les pirates peuvent l’utiliser pour créer un code soigné, une documentation convaincante et de faux profils de développeur, éliminant ainsi bon nombre des erreurs évidentes qui soulevaient autrefois des signaux d’alarme.

Les attaquants peuvent également exploiter les erreurs commises par les assistants de codage IA. Si un outil d’IA recommande un progiciel qui n’existe pas, les pirates peuvent enregistrer le nom et le charger avec un logiciel malveillant, en espérant qu’un développeur ou un système automatisé le téléchargera sans se rendre compte que la recommandation était erronée.

Les inquiétudes concernant la sécurité des logiciels open source attirent de plus en plus l’attention à Washington. En décembre, le président de la commission sénatoriale du renseignement a demandé au directeur national de la cybersécurité de la Maison Blanche de prendre des mesures pour remédier aux vulnérabilités des projets open source qui aident à alimenter les systèmes utilisés dans les agences militaires et civiles américaines.

En août dernier, Nextgov/FCW a signalé pour la première fois qu’un employé de la société technologique russe Yandex était le seul à maintenir un outil open source largement utilisé, intégré dans au moins 30 progiciels prédéfinis disponibles pour le ministère de la Défense.