https://cyberveille.ch/tags/github-company-scraper/ Recent content in GitHub-Company-Scraper on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 09 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-09-campagnes-coordonnees-d-enumeration-github-via-api-et-abus-de-tokens-d-acces/ Thu, 09 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-09-campagnes-coordonnees-d-enumeration-github-via-api-et-abus-de-tokens-d-acces/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 8 juillet 2026 par Datadog Security Labs (auteure : Julie Agnes Sparks), cet article de recherche documente plusieurs mois de surveillance d&rsquo;une activité soutenue d&rsquo;abus de l&rsquo;API GitHub visant à cartographier des organisations, leurs membres et leurs dépôts.</p> <h2 id="-nature-de-la-menace">🎯 Nature de la menace</h2> <p>L&rsquo;activité observée n&rsquo;est pas attribuée à un acteur unique mais à <strong>plusieurs campagnes chevauchantes</strong> combinant :</p> <ul> <li>Des <strong>réseaux de comptes « ghost »</strong> (créés 2 à 5 ans avant activation) envoyant du trafic API coordonné</li> <li>Des <strong>tokens OAuth et PAT compromis</strong> issus d&rsquo;utilisateurs légitimes (exposition accidentelle ou compromission d&rsquo;endpoint)</li> <li>Des <strong>outils de scraping automatisés</strong> avec des user agents personnalisés ou imitant des outils légitimes</li> </ul> <h2 id="-comptes-fantômes">👻 Comptes fantômes</h2> <p>Plus de <strong>plusieurs dizaines de comptes ghost</strong> ont été confirmés depuis octobre (année non précisée). Les conventions de nommage forment des familles reconnaissables : préfixe <code>amazon-data-*</code>, famille <code>*-orb</code> (kuku-orb, lolo-orb, lulu-orb, ruru-orb, zouzou-orb, meme-orb), <code>BirdWithDreams</code>, <code>BirdWithPlan</code>, <code>user432023</code>, <code>user412023</code>. Ces comptes sont utilisés en rafales de 2 à 3 semaines sur de nombreuses organisations.</p>