Une cyberattaque nord-coréenne qui a brièvement détourné lundi dernier l’un des projets open source les plus utilisés sur le Web a mis des semaines à être menée dans le cadre d’une campagne de longue haleine visant les principaux développeurs du code.
Le détournement du projet Axios le 31 mars a été en partie un succès car il s’est appuyé sur des pirates informatiques disposant de ressources suffisantes pour établir des relations et de la confiance avec leur cible sur une longue période de temps afin d’augmenter leurs chances de parvenir à un éventuel compromis. Ce type de piratage met en évidence les défis de sécurité auxquels les développeurs de projets open source populaires peuvent être confrontés, à une époque où les pirates gouvernementaux et les cybercriminels ciblent des projets largement utilisés pour leur capacité à accéder, dans certains cas, à des millions d’appareils dans le monde.
Jason Saayman, qui gère le projet Axios populaire que les développeurs utilisent pour connecter leurs applications à Internet, a fourni une analyse post-mortem d’une chronologie du piratage. Il a expliqué que les pirates avaient commencé leur campagne de ciblage environ deux semaines avant de finalement prendre le contrôle de son ordinateur pour diffuser du code malveillant.
En se faisant passer pour une véritable entreprise, en créant un espace de travail Slack réaliste et en utilisant de faux profils de ses employés pour renforcer sa crédibilité, Saayman a déclaré que les pirates nord-coréens présumés l’avaient ensuite invité à une réunion en ligne qui l’avait incité à télécharger un logiciel malveillant se faisant passer pour une mise à jour nécessaire pour accéder à l’appel. Saayman a déclaré que le leurre imitait une technique utilisée par les pirates nord-coréens qui incite les victimes potentielles à accorder aux pirates un accès à distance à leur système, souvent pour voler leur crypto-monnaie.
Cette attaque, a déclaré Saayman, imite des piratages antérieurs attribués à la Corée du Nord par des chercheurs en sécurité de Google.
Après avoir compromis et obtenu un accès à distance à l’ordinateur de Saayman, les pirates ont ensuite publié les mises à jour malveillantes du projet Axios.
Les deux packages malveillants Axios, retirés environ trois heures après leur première publication le 31 mars, pourraient avoir encore infecté des milliers de systèmes au cours de cette fenêtre, même si l’ampleur du piratage massif n’est pas encore tout à fait claire. Tout ordinateur ayant installé une version malveillante du logiciel pendant cette période peut avoir permis aux pirates informatiques de voler leurs clés privées, leurs informations d’identification et leurs mots de passe sur cet ordinateur, ce qui peut entraîner d’autres violations.
Saayman n’a pas immédiatement répondu à un e-mail contenant des questions sur l’incident.
Les pirates informatiques nord-coréens restent aujourd’hui l’une des cybermenaces les plus actives sur Internet, accusés d’avoir volé au moins 2 milliards de dollars de crypto-monnaie rien qu’en 2025.
Le régime de Kim Jong Un reste sous le coup de sanctions internationales et banni du réseau financier mondial pour avoir violé l’interdiction de son programme de développement d’armes nucléaires, que le pays finance en grande partie en lançant des cyberattaques et en volant des cryptomonnaies.
On pense que la Corée du Nord compte des milliers de pirates informatiques hautement organisés, dont la majorité travaillent contre leur volonté sous le régime répressif de Kim. Ces pirates informatiques passent des semaines ou des mois à mener des attaques complexes d’ingénierie sociale visant à gagner la confiance et éventuellement à accéder au vol de crypto-monnaie et de données pour extorquer leurs victimes.
