Selon Hackread.com (article de Deeba Ahmed), une attaque supply chain nommée « s1ngularity » a compromis la plateforme de build Nx à partir du 26 août 2025, ciblant les versions 20.9.0 à 21.8.0. L’objectif principal : le vol d’identifiants et de secrets de développeurs, touchant majoritairement des utilisateurs macOS.
L’attaque a exfiltré des tokens GitHub, clés d’authentification npm et clés privées SSH. Elle a également visé des clés API d’outils d’IA (dont Gemini, Claude et Q), marquant un intérêt pour les plateformes d’IA émergentes. Un payload destructeur modifiait les fichiers de démarrage du terminal, provoquant le plantage des sessions. 🔐
D’après l’analyse partagée par GitGuardian, 85% des systèmes infectés tournaient sous macOS. Sur le plan de l’exfiltration, les attaquants ont utilisé 1 346 dépôts GitHub pour stocker les données volées, en les double-encodant pour éviter la détection — un volume bien supérieur aux 10 dépôts visibles publiquement alors que GitHub supprimait les autres. L’analyse a mis au jour 2 349 secrets distincts, dont plus de 1 000 encore valides au moment du rapport, principalement pour GitHub et des plateformes d’IA. Fait notable, sur des centaines de systèmes où des clients IA ont été sollicités, plusieurs ont résisté aux requêtes malveillantes (refus d’exécuter ou réponses suggérant une détection) 🧠.
Pour les utilisateurs des versions Nx 20.9.0–21.8.0, l’article indique qu’il faut considérer les identifiants comme exposés. GitGuardian propose un service gratuit, HasMySecretLeaked, permettant de vérifier des compromissions sans divulguer les clés. Il est rappelé que supprimer un fichier compromis ne suffit pas : les clés et tokens doivent être révoqués et renouvelés.
TTPs clés observés:
- Supply chain: injection de code malveillant dans un composant logiciel largement utilisé (Nx) 📦
- Vol de credentials: GitHub tokens, clés npm, clés privées SSH, clés API IA
- Exfiltration via dépôts GitHub dédiés, avec double-encodage pour l’évasion
- Payload destructeur: modification des fichiers de démarrage du terminal entraînant des crashs
- Ciblage plateforme: forte prévalence sur macOS (85%)
Type d’article: article de presse spécialisé résumant une attaque supply chain et les constatations de GitGuardian.
🔗 Source originale : https://hackread.com/developer-credentials-stolen-macos-s1ngularity-attack/