Axios piraté : un RAT distribué via npm à 100 millions

La veille cybersécurité permanente est devenue une nécessité opérationnelle pour les équipes de sécurité, permettant d'anticiper les nouvelles menaces, de prioriser les actions de remédiation et d'adapter les stratégies de défense en temps réel. L'actualité de la cybersécurité est marquée par une accélération sans précédent des menaces, des vulnérabilités et des incidents affectant organisations et particuliers à l'échelle mondiale. Les équipes de sécurité doivent maintenir une veille permanente pour anticiper les risques émergents, appliquer les correctifs critiques et adapter leurs stratégies de défense. Cette analyse décrypte les derniers événements marquants du paysage cyber et leurs implications concrètes pour la protection de vos systèmes d'information. À travers l'analyse de Axios piraté : un RAT distribué via npm à 100 mill, nous vous proposons un décryptage complet des enjeux et des solutions à mettre en œuvre.

Ce qui s'est passé

Des attaquants ont compromis le compte npm de Jason Saayman, mainteneur principal de la librairie Axios, un client HTTP JavaScript utilisé par plus de 100 millions de projets chaque semaine. L'adresse email du compte a été modifiée vers une adresse Proton Mail, permettant aux pirates de publier deux versions malveillantes du package : axios@1.14.1 à 00h21 UTC et axios@0.30.4 moins d'une heure plus tard, selon BleepingComputer et The Hacker News.

Le mécanisme d'attaque repose sur l'injection d'une dépendance malveillante nommée plain-crypto-js dans le fichier package.json. Cette dépendance exécute un script post-installation qui lance un dropper obfusqué. Ce dernier contacte un serveur de commande et contrôle (C2) pour télécharger un payload adapté au système d'exploitation détecté — Windows, Linux ou macOS — déployant ainsi un RAT (Remote Access Trojan) multiplateforme.

L'attaque a été rapidement identifiée et les versions malveillantes retirées de npm. Toutefois, le délai entre la publication et le retrait a suffi pour que de nombreux systèmes CI/CD et environnements de développement récupèrent automatiquement les versions compromises. Cette technique rappelle d'autres attaques supply chain récentes sur l'écosystème npm, comme celle documentée dans notre analyse de Shai-Hulud 2.

Pourquoi c'est important

Axios est l'une des librairies les plus utilisées de l'écosystème JavaScript. Sa compromission illustre la fragilité structurelle de la chaîne d'approvisionnement logicielle : un seul compte mainteneur sans authentification multi-facteurs suffisante peut mettre en péril des millions de projets. Contrairement aux attaques par typosquatting, cette compromission touche le package légitime lui-même, ce qui la rend particulièrement dangereuse car les outils de vérification de dépendances n'émettent aucune alerte.

Pour les entreprises, l'impact est double. D'une part, le RAT déployé peut exfiltrer des clés API, des tokens d'authentification et des variables d'environnement sensibles. D'autre part, la contamination se propage silencieusement via les pipelines CI/CD qui installent automatiquement les dernières versions mineures. Les organisations qui n'utilisent pas de fichier lockfile strict ou de registre miroir sont les plus exposées, comme le détaille notre guide sur la détection des dépendances malveillantes.

Ce qu'il faut retenir

• Vérifiez immédiatement si vos projets utilisent axios@1.14.1 ou axios@0.30.4 et rétrogradez vers 1.14.0 ou 0.30.3.
• Effectuez une rotation complète des secrets (clés API, tokens, credentials) sur tout système ayant installé une version compromise.
• Adoptez des lockfiles stricts (package-lock.json, yarn.lock) et envisagez un registre npm miroir avec validation des checksums pour protéger votre chaîne d'approvisionnement.
• Activez l'authentification multi-facteurs sur tous vos comptes de registres de packages, comme recommandé dans les bonnes pratiques supply chain.