Dossier mastra-npm-sapphire-sleetChaîne d’approvisionnement IAMondial
Sapphire Sleet piège plus de 140 paquets npm Mastra via un compte mainteneur détourné
Des attaquants ont pris le contrôle du mainteneur npm « ehindero » et poussé des mises à jour vers plus de 140 paquets @mastra ajoutant la dépendance typosquattée easy-day-js, dont le dropper postinstall récupérait un infostealer multiplateforme traquant 166 extensions de portefeuilles.
CritiqueAttaque contre l’IAStatut: ContenuDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 17 juin 2026
- Lieu
- Mondial
- Cible
- Développeurs utilisant le framework d'agents IA @mastra
- Gravité
- Critique
- Déclenché par
- Sapphire Sleet (BlueNoroff)
- Type d’acteur
- Acteur étatique
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Des attaquants ont pris le contrôle du mainteneur npm « ehindero » et poussé des mises à jour vers plus de 140 paquets @mastra ajoutant la dépendance typosquattée easy-day-js, dont le dropper postinstall récupérait un infostealer multiplateforme traquant 166 extensions de portefeuilles.
Impact: Plus de 140 paquets empoisonnés ; le stealer collectait les détails de l'hôte, les historiques de navigation et les données d'extensions de portefeuilles sur Windows, macOS et Linux avec persistance ; nombre de victimes non divulgué
Qui l’a déclenché
Acteur: Sapphire Sleet (BlueNoroff)
Attribution: Microsoft a estimé avec une confiance élevée que la porte dérobée PowerShell, les techniques et l'infrastructure C2 correspondent à Sapphire Sleet, acteur nord-coréen également derrière l'attaque npm Axios d'avril 2026
Mobile: Vol d'identifiants, de clés d'API, de jetons et de portefeuilles de cryptomonnaies pour générer des revenus
Comment c’est arrivé
Vecteur d’attaque: Compte mainteneur détourné publiant des versions malveillantes ; le hook postinstall désactivait la vérification TLS et exécutait un dropper obfusqué lançant un stealer de seconde étape caché
Cause racine: Un seul compte mainteneur disposant des droits de publication sur toute la portée du paquet, sans protection supplémentaire des publications
Chronologie
- Microsoft révèle la compromission npm de Mastra
- Une mise à jour de Microsoft attribue l'activité à Sapphire Sleet
- BleepingComputer rapporte des portes dérobées PowerShell et des services de niveau SYSTEM sur les hôtes contactés
Réponse
Microsoft a publié analyse et attribution ; la remédiation par npm et Mastra n'est pas détaillée dans la couverture
Statut actuel: Contenu
Sources (nouvel onglet)
- BleepingComputer bleepingcomputer.com
- BleepingComputer npm tag bleepingcomputer.com
Citer ce dossier
Sapphire Sleet piège plus de 140 paquets npm Mastra via un compte mainteneur détourné. AI Threat Watch, dossier mastra-npm-sapphire-sleet, 17 juin 2026. https://aithreat.io/fr/cases/mastra-npm-sapphire-sleet/
Lien permanent: https://aithreat.io/fr/cases/mastra-npm-sapphire-sleet/