Le 31 mars 2026, quelqu’un a modifié une ligne de code dans l’un des packages JavaScript les plus téléchargés du monde, et pendant quelques heures, personne ne s’en est rendu compte. Axios — la bibliothèque HTTP qui gère les requêtes réseau dans des dizaines de millions d’applications web et mobiles, dans des banques, dans des hôpitaux, dans des infrastructures critiques — contenait soudainement quelque chose qui n’aurait pas dû s’y trouver. Un backdoor baptisé Waveshaper.v2, inséré dans une mise à jour frauduleuse rendue possible par le détournement d’un compte mainteneur sur le registre npm. L’attaque a été neutralisée en quelques heures. L’exposition potentielle, elle, avait été considérable.
L’attribution pointe vers UNC1069, un groupe de menace opérant pour le compte de la Corée du Nord, selon les indicateurs de compromission recueillis après l’incident. Dans ce domaine, les attributions restent probabilistes — la cybersécurité offense-attribution n’est jamais aussi précise qu’un mandat d’arrêt — mais les techniques utilisées et la patience de la préparation correspondent au profil de campagnes nord-coréennes documentées par plusieurs équipes de renseignement sur les menaces.
Ce que l’attaque contre Axios illustre n’est pas simplement la vulnérabilité d’un package particulier. C’est une évolution dans la manière dont les adversaires les plus sophistiqués ciblent l’infrastructure logicielle mondiale. Il y a quelques années, une attaque de chaîne d’approvisionnement typique consistait à publier un faux package portant un nom proche d’un package légitime — une technique appelée typosquatting — et à attendre que quelqu’un l’installe par erreur. C’était visible, relativement facile à détecter, et limité dans sa portée parce que le package malveillant ne bénéficiait d’aucun historique de confiance.
Ce que l’équipe d’Amazon Threat Intelligence a commencé à documenter au cours de l’année précédant l’incident Axios est différent dans sa logique. Les attaquants répartissent désormais la charge malveillante entre plusieurs packages distincts, chacun paraissant inoffensif examiné individuellement. Un package stocke un blob chiffré déguisé en configuration. Un second contient la logique de déchiffrement. Un troisième, souvent publié ultérieurement, récupère et exécute le payload. Aucun scanner de sécurité évaluant les packages un par un ne voit le problème. Le comportement malveillant n’émerge que lorsque les composants sont utilisés ensemble, dans la séquence prévue, dans un environnement réel. C’est une attaque conçue pour exploiter le temps qui s’écoule entre l’inspection d’une dépendance et son exécution effective.
L’investissement dans la confiance est l’autre dimension qui a changé. Avant d’insérer le backdoor dans Axios, UNC1069 ou des acteurs opérant dans ce mode ont passé du temps — parfois des mois — à se comporter comme des mainteneurs légitimes. Contributions réelles. Corrections de bugs. Nouvelles fonctionnalités. Une réputation construite patiemment pour être dépensée en une seule fois, au moment de l’accès maximum. Ce n’est pas une technique nouvelle dans le renseignement humain : infiltrer, gagner la confiance, agir quand le moment est venu. Ce qui est nouveau, c’est son application systématique à l’open source, avec une patience et une discipline que la communauté des développeurs n’était pas vraiment prête à anticiper.
Le précédent de la backdoor XZ Utils en 2024 avait déjà montré que ce type de campagne long-horizon était possible et dangereux. Un acteur utilisant le nom Jia Tan avait passé deux ans à contribuer légitimement à un outil de compression utilisé par des distributions Linux majeures avant d’insérer un accès distant dissimulé dans le code. La compromission avait été découverte presque par hasard, par un ingénieur Microsoft qui avait remarqué une anomalie de performance dans son environnement de test. Sans cette observation fortuite, la backdoor aurait atteint la production sur des millions de serveurs.
