🔍 Contexte

Source : SafeDep (safedep.io), publié le 3 novembre 2026 par Kunal Singh. L’article documente une attaque de supply chain ciblant le dépôt GitHub antd-img-crop, un composant Ant Design utilisé pour le recadrage d’images avec environ 98 000 téléchargements npm hebdomadaires.

💥 Vecteur d’attaque initial

Le 31 octobre 2026 à 15h12 UTC, un attaquant a effectué un force-push depuis le compte du mainteneur compromis pour injecter le commit malveillant 2aa8504. Ce commit est une reconstruction du commit légitime 4.30.0 (daté du 12 mars), conservant le même auteur, date et message, rendant la détection difficile.

Deux modifications ont été introduites :

  • Ajout d’un hook prebuild dans package.json : "prebuild": "node scripts/prebuild.js"
  • Ajout du fichier scripts/prebuild.js (dropper de stage 1)

🔗 Chaîne d’infection (3 stages)

  1. Stage 1 : prebuild.js télécharge et exécute un faux installeur deepfake_guard qui configure Node.js
  2. Stage 2 : Téléchargement de verify_m (Linux/macOS) ou verify_w (Windows) depuis icagllmbt[.]space
  3. Stage 3 : JavaScript chiffré exécuté en mémoire, localisant son serveur via un dead-drop GitLab (gitlab.com/drop-indexings/tasks), puis vol de credentials et installation de l’agent OverLord

🎯 Points d’entrée supplémentaires

  • Faux portail carrières Amber Group : collecte nom, email, profil GitHub, puis copie une commande malveillante dans le presse-papiers
  • Extension VS Code/Cursor sideloadée : google-dev-tools.google-update-support, absente des marketplaces officiels, probablement distribuée via de faux dépôts de tests techniques ou fichiers .vsix

🦠 Capacités du malware OverLord

OverLord fonctionne sur macOS, Linux et Windows et vole :

  • Mots de passe et cookies de navigateurs (Chromium, Firefox)
  • Keychain macOS et keyring Linux
  • Extensions de wallets (MetaMask, Phantom, Rabby, etc.)
  • ~34 wallets desktop (Exodus, Electrum, Ledger Live, Trezor Suite, etc.)
  • Clés CLI Solana, Sui, NEAR, Foundry
  • Fichiers .env, .npmrc, .gitconfig, clés SSH, .kdbx

Persistance déguisée en logiciel Google :

  • macOS : com.google.UpdateSupporter (LaunchDaemon)
  • Linux : google-agent.service
  • Windows : tâche planifiée GoogleUpdateSupporterNode

Sur Windows, des tâches SYSTEM éphémères (patterns ABES######, CNGS######, CNG??????, WU######) sont créées pour déchiffrer les mots de passe de navigateurs.

🏗️ Infrastructure rotative

Date Événement
5 août Enregistrement de buildwithknexus[.]xyz
25 août Build de la révision source de l’agent OverLord
12 octobre Enregistrement de icagllmbt[.]space
31 octobre Empoisonnement d’antd-img-crop

🕵️ Attribution

L’attaque est attribuée à la campagne Contagious Interview sur la base des techniques (faux recruteur, commande à coller, ciblage développeurs/crypto). Le module Go source est nommé overlord-client avec des paramètres OVERLORD_*. Un précédent incident similaire avait ciblé le thème Hugo hugo-paper le 21 août via le même compte mainteneur compromis.

📄 Type d’article

Analyse technique détaillée d’une attaque de supply chain active, avec chaîne d’infection complète, IOCs et timeline, destinée aux équipes CTI et sécurité développeurs.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
  • T1547.011 — Boot or Logon Autostart Execution: Plist Modification (Persistence)
  • T1543.001 — Create or Modify System Process: Launch Daemon (Persistence)
  • T1543.002 — Create or Modify System Process: Systemd Service (Persistence)
  • T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
  • T1555.003 — Credentials from Password Stores: Credentials from Web Browsers (Credential Access)
  • T1555.001 — Credentials from Password Stores: Keychain (Credential Access)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1056.002 — Input Capture: GUI Input Capture (Credential Access)
  • T1102.001 — Web Service: Dead Drop Resolver (Command and Control)
  • T1027.002 — Obfuscated Files or Information: Software Packing (Defense Evasion)
  • T1036.004 — Masquerading: Masquerade Task or Service (Defense Evasion)
  • T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
  • T1113 — Screen Capture (Collection)
  • T1115 — Clipboard Data (Collection)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1566.003 — Phishing: Spearphishing via Service (Initial Access)
  • T1608.004 — Stage Capabilities: Drive-by Target (Resource Development)

IOC

  • IPv4 : 193.160.32.10 — AbuseIPDB · VT · ThreatFox
  • Domaines : icagllmbt.space — VT · URLhaus · ThreatFox
  • Domaines : api.gaganata.ink — VT · URLhaus · ThreatFox
  • Domaines : api.fallgganata.ink — VT · URLhaus · ThreatFox
  • Domaines : gaganata.ink — VT · URLhaus · ThreatFox
  • Domaines : fallgganata.ink — VT · URLhaus · ThreatFox
  • Domaines : buildwithknexus.xyz — VT · URLhaus · ThreatFox
  • URLs : https://icagllmbt.space/verify_m — URLhaus
  • URLs : https://icagllmbt.space/verify_w — URLhaus
  • URLs : https://buildwithknexus.xyz/check_m — URLhaus
  • SHA256 : 2c09fce2856bcd92b8afea424da0f9daa67bf2d22ceb625af60deaabd3d0573d — VT · MalwareBazaar
  • SHA256 : 7f287aa27edecd135400060c3581bcbcf6320b53bb23da — VT · MalwareBazaar
  • SHA256 : c7c22e322c17bda8198257342d4034af6250a5c4332424 — VT · MalwareBazaar
  • SHA256 : 465cd1a445782c72cbb30e82e57ebbae38f1535f248bf82 — VT · MalwareBazaar
  • Fichiers : prebuild.js
  • Fichiers : verify_m
  • Fichiers : verify_w
  • Fichiers : v.cmd
  • Fichiers : check_m
  • Chemins : scripts/prebuild.js
  • Chemins : /var/tmp/check

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • OverLord (stealer)
  • OverLord agent (rat)

🟡 Indice de vérification factuelle : 60/100 (moyenne)

  • ⬜ safedep.io — source non référencée (0pts)
  • ✅ 11156 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 21 IOCs dont des hashes (15pts)
  • ⬜ 0/10 IOCs confirmés externellement (0pts)
  • ✅ 20 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Contagious Interview (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://safedep.io/blog/antd-img-crop-forged-commit-overlord-stealer