Campagne de logiciels malveillants PromptMink pilotée par l'IA

Des chercheurs en cybersécurité ont découvert du code malveillant dissimulé dans un package npm après l'introduction d'une dépendance dangereuse dans un projet, via du code co-écrit par le modèle de langage complexe Claude Opus (LLM) d'Anthropic. Cette découverte met en lumière l'évolution des menaces pesant sur la chaîne d'approvisionnement logicielle, liée à la mauvaise utilisation des flux de travail de développement assistés par l'IA.

Le paquet au cœur de la campagne, « @validate-sdk/v2 », était présenté sur npm comme un kit de développement logiciel utilitaire pour le hachage, la validation, l'encodage et le décodage, ainsi que la génération de nombres aléatoires sécurisés. En réalité, il était conçu pour dérober des informations sensibles à des systèmes compromis. Les enquêteurs ont relevé des indices suggérant que le paquet aurait pu être « vibe-coded » à l'aide d'une intelligence artificielle générative. Il a été mis en ligne pour la première fois sur npm en octobre 2025.

PromptMink lié à des activités menaçantes nord-coréennes

Les chercheurs ont baptisé cette campagne PromptMink et pensent qu'elle est liée au groupe de cybercriminels nord-coréen Famous Chollima, également connu sous le nom de Shifty Corsair. Ce groupe a déjà été impliqué dans l'opération Contagious Interview, qui a duré plusieurs années, ainsi que dans des escroqueries frauduleuses se faisant passer pour des informaticiens.

Cette campagne témoigne d'un intérêt constant pour l'écosystème open source, notamment les environnements liés aux cryptomonnaies et au développement Web3.

Un commit co-écrit par l’IA a introduit une dépendance dangereuse

Le logiciel malveillant a été inséré le 28 février dans un dépôt d'agent de trading autonome via une modification du code. Cette modification aurait été co-écrite par le modèle Claude Opus d'Anthropic. Une fois intégré, le logiciel malveillant a permis aux attaquants d'accéder aux portefeuilles de cryptomonnaies et de dérober des fonds.

La chaîne de dépendances transitait par plusieurs paquets. « @validate-sdk/v2 » était inclus dans « @solana-launchpad/sdk », lui-même utilisé par un troisième paquet nommé openpaw-graveyard. Ce paquet était décrit comme un agent d'IA autonome capable de se constituer une identité sociale sur la blockchain Solana via le protocole Tapestry, d'effectuer des transactions en cryptomonnaie via Bankr et d'interagir avec d'autres agents sur Moltbook.

Un commit du code source de février 2026 a ajouté la dépendance corrompue, provoquant l'exécution de code malveillant et la fuite d'identifiants pouvant exposer les actifs du portefeuille.

Stratégie d’infection par couches conçue pour éviter la détection

Les attaquants utilisaient une structure de paquets par étapes. Les premiers paquets semblaient sains et ne contenaient aucun code malveillant apparent. Ils importaient ensuite des paquets secondaires contenant les fonctionnalités malveillantes. Si un paquet secondaire malveillant était détecté ou supprimé, il était rapidement remplacé.

Parmi les colis de première couche identifiés lors de la campagne, on peut citer :

@solana-launchpad/sdk
@meme-sdk/trade
@validate-ethereum-address/core
@solmasterv3/solana-metadata-sdk
@pumpfun-ipfs/sdk
@solana-ipfs/sdk

Ces paquets prétendaient offrir des fonctionnalités liées aux cryptomonnaies et incluaient de nombreuses dépendances de confiance telles qu'axios et bn.js, ce qui leur conférait une apparence de légitimité. Parmi ces bibliothèques de confiance se cachaient cependant quelques dépendances malveillantes.

Techniques de furtivité utilisées par les attaquants

Les acteurs malveillants ont utilisé plusieurs méthodes pour réduire les soupçons et améliorer leur persistance :

• Création de versions malveillantes de fonctions déjà présentes dans des bibliothèques populaires légitimes
• Utilisation de noms de paquets et de descriptions typosquattés qui ressemblaient fortement à des outils de confiance
• Séparer le logiciel malveillant en un chargeur d'apparence inoffensive et une charge utile de deuxième étape
• Envoi rapide de colis secondaires retirés ou détectés

Le premier paquet connu lié à la campagne, « @hash-validator/v2 », a été téléchargé en septembre 2025.

Expansion au-delà de npm et de l’évolution des logiciels malveillants

Des chercheurs ont constaté des signes de cette activité plusieurs mois plus tard, confirmant l'utilisation de dépendances transitives pour exécuter du code malveillant sur les machines des développeurs et dérober des données sensibles. La campagne s'est ensuite étendue à l'index des packages Python (PyPI) via un package malveillant nommé scraper-npm, mis en ligne en février 2026 et présentant des fonctionnalités similaires.

Des versions plus récentes de cette opération auraient établi un accès distant persistant via SSH et utilisé des charges utiles compilées en Rust pour voler des projets de code source entiers et de la propriété intellectuelle à partir de systèmes infectés.

Du voleur de données basique à la menace multiplateforme

Les premières versions du logiciel malveillant étaient des voleurs de JavaScript obfusqués qui recherchaient de manière récursive les fichiers .env et .json dans les répertoires de travail avant de les préparer pour l'exfiltration vers un domaine hébergé par Vercel précédemment lié à l'activité de Famous Chollima.

Les versions ultérieures intégraient PromptMink sous la forme d'une application exécutable unique Node.js. Cependant, cela augmentait la taille de la charge utile d'environ 5,1 Ko à près de 85 Mo, rendant sa diffusion moins efficace. Pour contourner cette limitation, les attaquants auraient opté pour NAPI-RS, permettant l'utilisation d'extensions Node.js précompilées écrites en Rust.

Risque croissant pour la chaîne d’approvisionnement open source

L'évolution de cette campagne, initialement un simple voleur d'informations, vers une famille de logiciels malveillants multiplateformes spécialisée ciblant Windows, Linux et macOS, témoigne d'une nette progression de ses capacités. Elle permet désormais le vol d'identifiants, le déploiement de portes dérobées SSH et le vol de projets de développement complets.

Les chercheurs ont conclu que Famous Chollima combine du code généré par l'IA avec des méthodes de distribution de paquets par couches pour échapper à la détection et manipuler les assistants de codage automatisés plus efficacement que les développeurs humains.