Une attaque de la chaîne d'approvisionnement npm sur Axios diffuse un RAT multiplateforme, la CISA ordonne un correctif Citrix d'urgence, Silver Fox déploie le RAT AtlasCross, l'exploitation de Fortinet EMS commence

Le paquet npm Axios, massivement populaire (83 M+ de téléchargements hebdomadaires), est compromis via un compte de mainteneur détourné, diffusant un RAT multiplateforme ciblant Windows, macOS et Linux. La CISA publie une directive d'urgence ordonnant aux agences fédérales de corriger avant jeudi la faille Citrix NetScaler CVE-2026-3055, activement exploitée. L'APT chinois Silver Fox étend sa présence en Asie avec un nouveau RAT AtlasCross diffusé via des domaines typosquattés. L'exploitation de la faille critique d'injection SQL de Fortinet FortiClient EMS débute dans la nature. Le ministère néerlandais des Finances met hors ligne son portail bancaire du Trésor alors que l'enquête sur la brèche s'étend.

1. Attaque de la chaîne d'approvisionnement npm sur Axios — un RAT multiplateforme touche 83 M de téléchargements hebdomadaires

La bibliothèque cliente HTTP Axios — l'un des paquets les plus utilisés de l'écosystème JavaScript, avec plus de 83 millions de téléchargements hebdomadaires — a subi une attaque sophistiquée de la chaîne d'approvisionnement. Deux versions malveillantes (1.14.1 et 0.30.4) ont été publiées sur npm à l'aide des identifiants compromis du mainteneur principal « jasonsaayman ».

Mécanique de l'attaque

L'attaquant a injecté une fausse dépendance nommée « plain-crypto-js » (version 4.2.1), dont le seul but est d'exécuter un script postinstall agissant comme un dropper de RAT multiplateforme. Le malware contacte un serveur C2 actif et diffuse des charges utiles de second stade spécifiques à chaque plateforme pour macOS, Windows et Linux. Après exécution, il s'autodétruit et remplace son propre package.json par une version saine afin d'échapper à la détection forensique.

Chronologie précise de l'attaque

• 30 mars, 05h57 UTC — Publication saine de « plain-crypto-js@4.2.0 » en staging
• 30 mars, 23h59 UTC — Publication de la version malveillante « plain-crypto-js@4.2.1 » avec charge utile
• 31 mars, 00h21 UTC — Publication de la version compromise « axios@1.14.1 » via le compte détourné
• 31 mars, 01h00 UTC — Publication de la version compromise « axios@0.30.4 » (39 minutes plus tard)

Le chercheur de StepSecurity Ashish Kurmi a souligné : « Ce n'était pas opportuniste. La dépendance malveillante a été mise en place 18 heures à l'avance. Trois charges utiles distinctes ont été préconstruites pour trois systèmes d'exploitation. Les deux branches de version ont été touchées en l'espace de 39 minutes. Chaque trace était conçue pour s'autodétruire. »

Mesures immédiates requises

• Revenir immédiatement à Axios 1.14.0 ou 0.30.3
• Faire tourner tous les secrets et identifiants sur les systèmes concernés
• Auditer les pipelines CI/CD à la recherche de builds utilisant les versions compromises
• Rechercher les indicateurs de communication C2 depuis les environnements de build/production
• Les versions malveillantes et « plain-crypto-js » ont été retirées de npm

2. La CISA ordonne un correctif d'urgence pour Citrix NetScaler — CVE-2026-3055 activement exploitée

La CISA a émis une directive de correctif d'urgence après avoir ajouté la vulnérabilité Citrix NetScaler CVE-2026-3055 à son catalogue Known Exploited Vulnerabilities (KEV). Les agences du pouvoir exécutif civil fédéral doivent sécuriser toutes les appliances vulnérables avant jeudi 2 avril, conformément à la directive BOD 22-01.

Détails techniques

La vulnérabilité provient d'une validation insuffisante des entrées dans les appliances Citrix ADC et Citrix Gateway configurées comme fournisseurs d'identité SAML (IDP). Des attaquants distants non authentifiés peuvent l'exploiter pour divulguer de la mémoire applicative sensible, y compris des identifiants de session d'authentification administrateur — pouvant potentiellement permettre une prise de contrôle complète de l'appliance.

La société de cybersécurité Watchtowr a confirmé que l'exploitation active a débuté quelques jours après la publication des correctifs par Citrix le 23 mars, les attaquants ciblant la même classe de bugs de fuite mémoire qui a rendu CitrixBleed et CitrixBleed2 si dévastatrices.

Ampleur de l'exposition

• ~30 000 NetScaler ADC appliances recensées par Shadowserver
• 2 300+ Gateway instances exposées en ligne
• Rappelle le schéma d'attaque de CitrixBleed (CVE-2023-4966)
• Correctif publié le 23 mars — exploitation confirmée en quelques jours
• Toutes les organisations utilisant NetScaler comme IDP SAML doivent corriger immédiatement

3. L'APT Silver Fox déploie le RAT AtlasCross via des domaines typosquattés

Les utilisateurs sinophones sont ciblés par Silver Fox (également suivi sous les noms SwimSnake, Valley Thief, UTG-Q-1000 et Void Arachne) dans une campagne active utilisant des domaines typosquattés usurpant des marques logicielles de confiance. La campagne diffuse un cheval de Troie d'accès distant jusqu'alors non documenté nommé AtlasCross RAT.

Infrastructure de la campagne

La société de cybersécurité allemande Hexastrike a identifié 11 domaines de diffusion confirmés couvrant :

• Clients VPN — usurpation de Surfshark VPN
• Messageries chiffrées — faux sites Signal, Telegram
• Visioconférence — imitations de Zoom, Microsoft Teams
• Trackers de cryptomonnaies et applications e-commerce

Évolution technique

AtlasCross RAT représente une évolution significative par rapport à l'ancien arsenal de dérivés Gh0st RAT de Silver Fox (ValleyRAT/Winos 4.0, Gh0stCringe, HoldingHands RAT). La chaîne d'attaque utilise de faux sites web pour diffuser des archives ZIP contenant un binaire Autodesk trojanisé qui lance un chargeur de shellcode, extrayant les informations C2 d'une configuration Gh0st RAT intégrée et téléchargeant des charges utiles de second stade via le port TCP 9899.

Recommandations défensives

• Bloquer les domaines C2 connus de Silver Fox, notamment « bifa668[.]com »
• Valider les sources de téléchargement des logiciels — n'utiliser que les sites officiels des éditeurs
• Surveiller toute exécution inattendue de binaires Autodesk
• Générer une alerte sur les connexions sortantes TCP 9899
• La plupart des faux domaines ont été enregistrés en une seule journée, suggérant des campagnes coordonnées

4. Injection SQL critique dans Fortinet FortiClient EMS — l'exploitation active débute

L'exploitation d'une faille d'injection SQL de sévérité critique dans Fortinet FortiClient Enterprise Management Server (EMS) a débuté dans la nature. La vulnérabilité permet à des attaquants distants non authentifiés d' exécuter du code arbitraire via des requêtes HTTP spécialement forgées ciblant la console de gestion.

Évaluation de l'impact

FortiClient EMS est largement déployé dans les entreprises pour la gestion centralisée des terminaux, le déploiement de correctifs et l'application des politiques de sécurité. Une exploitation réussie donne aux attaquants :

• Exécution de code à distance sur le serveur EMS
• Accès aux configurations des terminaux gérés et aux identifiants
• Possibilité de déployer des politiques malveillantes vers tous les terminaux FortiClient gérés
• Capacité de mouvement latéral sur l'ensemble du parc géré

Mesures immédiates

• Appliquer immédiatement les mises à jour de sécurité Fortinet
• Restreindre l'accès réseau aux interfaces de gestion EMS
• Surveiller les journaux EMS à la recherche de schémas SQL et de requêtes HTTP inhabituels
• Vérifier les configurations des terminaux gérés à la recherche de modifications non autorisées
• Envisager une isolation réseau temporaire des serveurs EMS jusqu'à l'application du correctif

5. Le ministère néerlandais des Finances étend sa réponse à la brèche — portail du Trésor hors ligne

Le ministère néerlandais des Finances a considérablement étendu sa réponse à la brèche, mettant hors ligne le portail bancaire numérique du Trésor ainsi que plusieurs autres systèmes après la cyberattaque du 19 mars. Le ministre des Finances Eelco Heinen a révélé, dans une déclaration à la Chambre des représentants néerlandaise, que la fermeture affecte environ 1 600 institutions publiques.

Impact en cascade

• ~1 600 institutions publiques ne peuvent pas consulter en ligne les soldes de leurs comptes du Trésor
• Les demandes de prêt, les dépôts, les demandes de crédit et la génération de rapports sont suspendus
• Les entités concernées incluent des ministères, des agences gouvernementales, des organisations éducatives, des caisses sociales et des collectivités locales
• Les paiements entrants et sortants se poursuivent via les circuits bancaires habituels
• Des niveaux de service minimum manuels sont maintenus pour les processus essentiels

État de l'enquête

Le Centre national néerlandais de cybersécurité (NCSC) apporte son soutien à l'enquête. Aucun acteur malveillant ni groupe cybercriminel n'a revendiqué la responsabilité de l'attaque. Le ministère avait initialement révélé la brèche la semaine dernière, indiquant que la collecte des impôts et les services destinés aux citoyens n'étaient pas affectés, mais la fermeture élargie d'aujourd'hui révèle que l'impact de l'incident est plus large que ce qui avait été initialement communiqué.

Synthèse du paysage des menaces