La bibliothèque Axios victime d'une attaque par chaîne d'approvisionnement, les hackers utilisant un jeton npm volé pour implanter un cheval de Troie à distance, affectant environ 80 % des environnements cloud

CycleProphet · 2026-04-02T05:16:42+00:00

L'attaquant a volé le jeton d'accès npm du principal mainteneur d'Axios et a publié une version malveillante contenant un cheval de Troie à distance. Bien qu'Axios dispose de mesures de sécurité modernes, l'attaquant a contourné ces défenses, infectant au moins 135 systèmes.

CycleProphet

2026-04-02 05:16:42

Création du résumé en cours

Deep Tide TechFlow, le 02 avril, selon VentureBeat, des attaquants ont dérobé le jeton d’accès npm du principal mainteneur de la bibliothèque JavaScript HTTP la plus populaire, Axios, et ont utilisé ce jeton pour publier deux versions malveillantes contenant des chevaux de Troie d’accès à distance (RAT) multiplateformes (axios@1.14.1 et axios@0.30.4), visant à couvrir les systèmes macOS, Windows et Linux. Les paquets malveillants ont été supprimés après environ 3 heures de présence sur le registre npm.

D’après les données de la société de sécurité Wiz, Axios compte plus de 100 millions de téléchargements par semaine et est présent dans environ 80 % des environnements cloud et de code. La société de sécurité Huntress a détecté les premiers cas d’infection 89 secondes après la mise en ligne des paquets malveillants, et a confirmé, pendant la fenêtre d’exposition, qu’au moins 135 systèmes ont été compromis.

Il est à noter que le projet Axios avait auparavant déployé des mesures de sécurité modernes telles que un mécanisme de publication de confiance via OIDC et des preuves de traçabilité SLSA, mais les attaquants ont totalement contourné ces défenses. L’enquête a révélé que le projet, tout en configurant l’OIDC, conserve encore un NPM_TOKEN traditionnel à validité longue. Or, lorsque les deux sont en coexistence, npm donne par défaut la priorité au jeton traditionnel, ce qui permet aux attaquants de publier sans avoir à contourner l’OIDC.

Voir l'original

Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.