Famous Chollima, le sous-groupe de Lazarus (Corée du Nord), vient de franchir une étape supplémentaire dans la compromission de la chaîne de dépendances logicielle : un paquet PHP malveillant déposé sur Packagist a été utilisé pour piéger des développeurs européens via de faux entretiens d'embauche. Pour les PME-ETI dont l'écosystème repose massivement sur PHP (CMS, e-commerce, ERP métiers), c'est le signal d'alerte qu'il ne faut plus traiter Composer comme un canal de confiance par défaut.
Anatomie de l'attaque Famous Chollima sur Packagist
D'après l'analyse publiée par Socket le 31 mai 2026, les opérateurs nord-coréens ont injecté un loader malveillant à la fin d'une configuration Tailwind légitime distribuée comme paquet Composer. Le code, déobfusqué par les chercheurs, se contente d'ouvrir une connexion RPC vers une infrastructure crypto distribuée (TRON, Aptos, BNB Smart Chain) pour récupérer et exécuter à la volée du JavaScript hébergé hors des canaux classiques d'attaque (pas de GitHub raw, pas de S3 — uniquement des smart contracts).
Le vecteur d'entrée n'est pas un mass-targeting : les cibles sont des développeurs PHP/JavaScript contactés via LinkedIn pour un faux processus de recrutement. La tâche technique « à compléter avant l'entretien » importe le paquet piégé, et la compromission démarre sur le poste de dev — souvent avec accès aux secrets de production via des fichiers .env ou des sessions cloud actives.
Pourquoi Famous Chollima change la donne pour les PME-ETI
Les PME-ETI françaises ont longtemps considéré la supply chain JavaScript (npm) comme le terrain de jeu principal des attaques de dépendances. La compromission Packagist du 31 mai 2026 corrige cette vision biaisée. Trois angles morts sont aujourd'hui exploités à grande échelle :
- L'ingénierie sociale ciblant les développeurs reste largement non couverte par les programmes de sensibilisation, qui se concentrent encore sur les utilisateurs métiers et le phishing classique.
- Le RPC crypto comme canal C2 contourne toutes les règles de filtrage HTTPS classiques : un appel à un node TRON ou Aptos depuis un poste de développement passe sous le radar des proxys et des EDR mal configurés.
- Composer et Packagist n'ont pas de signature obligatoire des paquets ni de mécanisme équivalent à npm provenance. La confiance repose entièrement sur la réputation du mainteneur — un modèle naïf face à un acteur étatique.
Leçons concrètes pour la défense des PME-ETI
Le mode opératoire Famous Chollima sur Packagist appelle quatre chantiers immédiats côté PME-ETI :
1. Sensibiliser les développeurs au recrutement piégé
Tout test technique reçu hors processus RH formel doit être traité comme une pièce jointe suspecte. Les équipes DSI doivent diffuser des consignes claires : pas d'exécution de code de candidature sur le poste principal, jamais. Une machine virtuelle jetable, isolée du réseau d'entreprise, est le minimum.
2. Verrouiller la chaîne Composer
Activer la vérification stricte des sommes de hachage via composer.lock, refuser les installations --no-lock en CI/CD, et restreindre la liste des repositories autorisés dans composer.json. Pour les projets critiques, héberger un miroir privé (comme nous l'avons recommandé pour les canaux SaaS) reste la meilleure défense contre les compromissions de registres publics.
3. Monitorer le trafic crypto sortant des postes de dev
Aucun usage légitime ne justifie qu'un poste de développement contacte un node TRON, Aptos ou BNB Smart Chain. Une règle de détection EDR ou un filtrage DNS sur les domaines connus de RPC publics élimine la dernière étape de la kill chain. Les équipes SOC doivent ajouter ces patterns à leur baseline de monitoring.
4. Auditer les dépendances avec un scanner supply chain
Des outils comme Socket, Snyk ou OSV-Scanner détectent les comportements suspects (network calls, eval dynamique, obfuscation) au moment de l'installation. Intégrer ce scan dans le pipeline CI/CD bloque les paquets piégés avant qu'ils n'atteignent les développeurs.
Le signal stratégique derrière Famous Chollima
La compromission Packagist confirme une bascule structurelle : les acteurs étatiques considèrent désormais les développeurs des PME-ETI comme une cible prioritaire, parce que ce sont eux qui détiennent les clés d'accès aux environnements de production. Comme dans le cas du paquet npm ciblant Claude la semaine dernière, le poste de dev est devenu le périmètre de défense le plus critique de l'entreprise.
Pour les PME-ETI, le message est sans ambiguïté : Famous Chollima et ses pairs ne s'arrêteront pas à PHP. Chaque écosystème de paquets — Composer, npm, PyPI, RubyGems, Cargo — sera testé. La défense ne se gagne plus au pare-feu, mais à l'installation du paquet.