GitHub Actions

📅 Source : BleepingComputer, publié le 26 septembre 2026. Cet article rapporte une réactivation accidentelle de deux GitHub Actions malveillants, initialement compromis en mai 2026 dans le cadre de la campagne Mini Shai-Hulud. 🔍 Contexte de la compromission initiale Le 18 mai 2026, les actions actions-cool/issues-helper et actions-cool/maintain-one-comment ont été compromises dans le cadre de l’attaque Mini Shai-Hulud, une attaque de la chaîne d’approvisionnement ayant infecté 323 packages et 639 versions de packages sur le registre npm. Le malware ciblait les tokens, credentials et secrets CI/CD des développeurs. L’équipe de sécurité GitHub avait alors supprimé ces actions. ...

🗓️ Contexte Source : BleepingComputer, publié le 26 septembre 2026. L’article rapporte une réactivation accidentelle de deux GitHub Actions précédemment compromis lors de la campagne Mini Shai-Hulud, découverte et signalée par les chercheurs de la société Socket. 🔍 Incident initial (mai 2026) Le 18 mai 2026, les actions actions-cool/issues-helper et actions-cool/maintain-one-comment ont été compromises dans le cadre de la campagne Mini Shai-Hulud, une attaque de chaîne d’approvisionnement ayant affecté : 323 packages et 639 versions de packages sur l’index npm Ciblant les tokens, credentials et secrets CI/CD des développeurs L’équipe de sécurité GitHub avait alors supprimé ces actions pour bloquer tout téléchargement de malware en aval. ...

🔍 Contexte Le 23 septembre 2026, SafeDep publie une analyse technique détaillée d’une attaque de type supply chain ciblant deux packages open source du projet MemTensor. L’attaque a été détectée via un signalement communautaire (issue #173) sur le dépôt GitHub du plugin OpenClaw. 🎯 Packages compromis npm : @memtensor/memos-cloud-openclaw-plugin — versions malveillantes 0.1.21, 0.1.23, 0.1.25 PyPI : MemoryOS — version malveillante 2.0.34 Les deux packages contiennent le même implant Go nommé sckit, compilé pour six plateformes (linux/darwin/windows × amd64/arm64). ...

🔍 Contexte Article publié le 2 avril 2026 (mis à jour le 8 avril) par Alessandro Brucato sur le blog de Tracebit. Il documente la campagne TeamPCP, une série d’attaques supply chain ciblant des outils open source largement utilisés dans les pipelines CI/CD, et présente une approche de détection par canary credentials. 📅 Chronologie de la campagne 19 mars : Compromission de plusieurs GitHub Actions du scanner Trivy (Aqua Security) 22 mars : Utilisation des credentials volés pour compromettre des dizaines de packages npm via un ver auto-propagant nommé CanisterWorm ; publication de versions malveillantes de Trivy sur Docker Hub 23 mars : Compromission des GitHub Actions et extensions OpenVSX du scanner KICS (Checkmarx) avec un malware similaire 24 mars : Compromission du package PyPI LiteLLM (deux versions malveillantes publiées) 27 mars : Compromission du package PyPI Telnyx (deux versions malveillantes publiées) 🦠 Comportement du malware Tous les incidents déploient le “TeamPCP Cloud Stealer”, un malware de collecte massive de credentials : ...

🗓️ Contexte Article publié le 27 août 2026 par la Flare Emerging Threats Team sur flare.io. Il documente l’investigation ayant conduit à la deanonymisation d’un opérateur du groupe TeamPCP et aux arrestations de deux individus liés à ce groupe. 🎯 Qui est TeamPCP ? TeamPCP est un groupe cybercriminel apparu fin 2025, initialement spécialisé dans l’exploitation opportuniste de services cloud exposés : Scan automatisé d’APIs Docker, plans de contrôle Kubernetes, dashboards Ray, instances Redis Déploiement de conteneurs sur chaque hôte compromis, transformés en nœuds de scan et de proxy Revenus via minage XMRig (Monero), réseau proxy loué, et revente/extorsion de données volées En décembre 2025 : campagne React2Shell contre des applications Next.js, revendiquant plus de 59 000 serveurs compromis en moins de 48 heures 🔗 Pivot vers la supply chain logicielle (2026) En février 2026, TeamPCP exploite un workflow GitHub Actions mal configuré dans Aqua Security Trivy (scanner de vulnérabilités open-source le plus déployé) et vole un token de compte de service. La rotation des credentials est incomplète, laissant un accès résiduel. ...

🗓️ Contexte Le 8 juin 2026, StepSecurity publie une analyse technique détaillée de la campagne Hades, une opération de compromission de la chaîne d’approvisionnement Python ciblant l’écosystème PyPI. Cette campagne est attribuée à l’acteur Miasma, déjà documenté dans des attaques npm précédentes. 📦 Packages compromis Au total, 27 packages PyPI sont identifiés comme compromis, couvrant les domaines de la bioinformatique, du machine learning graphique et de l’analyse génotype-phénotype. Parmi les plus notables : ...

🗓️ Contexte Article publié le 23 mai 2026 par Hudson Rock sur la plateforme infostealers.com. L’analyse croise les découvertes de OX Security, SafeDep et Datadog Security Labs sur une campagne d’attaque supply chain massive nommée Megalodon. 🎯 Description de l’attaque En l’espace de six heures, des acteurs malveillants ont poussé des milliers de commits vers des dépôts GitHub publics, infectant plus de 5 000 repositories. Le vecteur principal repose sur l’injection de payloads encodés en Base64 directement dans des fichiers de workflow YAML ciblant GitHub Actions. ...

🎯 Contexte L’article est publié le 21 mai 2026 par l’équipe SafeDep sur leur blog technique. Il documente une campagne d’attaque massive sur la chaîne d’approvisionnement logicielle, baptisée megalodon, détectée après que le moteur d’analyse Malysis de SafeDep a flagué le package npm @tiledesk/tiledesk-server@2.18.12. 📅 Déroulement de la campagne Le 18 mai 2026, entre 11h36 et 17h48 UTC, un attaquant a poussé 5 718 commits malveillants sur 5 561 dépôts GitHub distincts en utilisant : ...

🔍 Contexte Le 11 mai 2026, TanStack a publié un post-mortem détaillé d’une compromission de chaîne d’approvisionnement npm survenue entre 19:20 et 19:26 UTC. L’incident a affecté 42 packages @tanstack/* avec 84 versions malveillantes publiées via un enchaînement de trois vulnérabilités dans le pipeline GitHub Actions. ⚙️ Vecteur d’attaque — Trois vulnérabilités chaînées 1. Pattern « Pwn Request » via pull_request_target Le workflow bundle-size.yml utilisait le déclencheur pull_request_target et effectuait un checkout du code de la PR fork, permettant l’exécution de code non approuvé dans le contexte du dépôt de base. ...

🔍 Contexte Le 13 mai 2026, Datadog Security Labs publie une analyse statique approfondie du code source du framework offensif Shai-Hulud, attribué au groupe TeamPCP. Ce code a brièvement été disponible sur GitHub avant d’être retiré par la plateforme, mais plusieurs forks ont permis à Datadog d’en obtenir une copie complète. 🎯 Attribution et contexte de la campagne Tout au long du début 2026, TeamPCP a mené une série d’attaques supply chain escaladantes sur les écosystèmes npm et PyPI : hijacking de tags Trivy/Checkmarx KICS, empoisonnement de LiteLLM sur PyPI, compromission des packages TanStack et UiPath sur npm. Le dépôt publié contient le message “Love - TeamPCP” et “Change keys and C as needed”, avec tous les commits datés au 2099-01-01 et signés TeamPCP_OSS <TeamPCP>. ...