Copier-coller une dépendance open source sans regarder ce qu’il y a dedans, c’est parfois inviter Pyongyang à dîner. Des chercheurs en sécurité ont mis au jour une campagne baptisée PolinRider, attribuée à des acteurs nord-coréens, qui a essaimé pas moins de 108 paquets et extensions malveillants à travers les principaux écosystèmes de développeurs.
Points clés
- 108 paquets et extensions malveillants diffusés dans la campagne PolinRider attribuée à des acteurs nord-coréens
- Les écosystèmes visés couvrent npm, Packagist, Go et les extensions Chrome
- Chargeurs JavaScript obfusqués et détournement des tâches VS Code pour livrer la charge malveillante
Un ratissage large des dépôts de code
L’opération ne s’est pas contentée d’un seul terrain de chasse. Elle vise npm (l’écosystème JavaScript), Packagist (côté PHP), Go et jusqu’aux extensions Chrome. Autant de robinets où les développeurs puisent des briques logicielles à longueur de journée, souvent sans inspecter la plomberie.
La mécanique repose sur des chargeurs JavaScript obfusqués, conçus pour brouiller les pistes et échapper aux analyses automatiques. Les attaquants détournent aussi les tâches de VS Code, ces scripts que l’éditeur exécute pour automatiser des opérations, afin de livrer la charge malveillante au moment où l’environnement de développement se met en route.
La supply chain, cible de choix
Rien de neuf dans le principe, mais l’échelle interpelle. Les attaques par la chaîne d’approvisionnement logicielle consistent à empoisonner un composant en amont pour contaminer tous ceux qui l’installent en aval. Un seul paquet piégé peut ainsi atteindre des milliers de machines de développeurs, avec à la clé un accès potentiel à du code propriétaire, des identifiants ou des portefeuilles de cryptomonnaies.
Les groupes rattachés à la Corée du Nord ont fait de ce terrain une spécialité, avec un goût prononcé pour tout ce qui touche aux cryptoactifs. PolinRider s’inscrit dans cette lignée : multiplier les vecteurs, disperser les paquets, miser sur la routine des développeurs qui font confiance aux dépôts publics.
La parade tient en quelques réflexes trop souvent négligés : vérifier l’origine et la réputation d’une dépendance, épingler les versions, se méfier des paquets fraîchement publiés au nom trop proche d’une bibliothèque connue. La confiance aveugle dans un npm install reste le meilleur allié des attaquants.
