Le 31 mars 2026, des chercheurs en sécurité ont détecté une compromission du package « npm axios », l’un des clients HTTP JavaScript les plus utilisés (plus de 100 millions de téléchargements hebdomadaires). Cette attaque de chaîne d’approvisionnement résulte de la compromission du compte npm du mainteneur du package axios. Les attaquants ont publié des versions malveillantes intégrant un cheval de Troie d’accès à distance (RAT). Toute machine ayant installé une des versions susmentionnées doit être considérée comme totalement compromise.

Le code injecté:

• Télécharge et exécute un payload spécifique à l’OS (Windows, Linux, macOS) ;

• Établit une communication avec un serveur de commande et contrôle (C2) ;

• Exfiltre des informations sensibles (tokens, clés API, credentials) ;

• Permet l’exécution de commandes à distance et le contrôle complet du système ;

• Supprime ses traces après exécution pour éviter la détection ;