GitHub-Exfiltration

🔍 Contexte Publié le 25 juin 2026 par Yair Benamou (JFrog Security Research), cet article documente une nouvelle vague de la campagne Shai-Hulud, désignée Hades, ciblant l’écosystème npm Leo/RStreams — une plateforme de streaming d’événements AWS-native utilisée dans des pipelines serverless et CI/CD. 🎯 Packages ciblés 20 packages npm légitimes ont été compromis, dont : leo-sdk, leo-auth, leo-aws, leo-logger, leo-config rstreams-metrics, rstreams-shard-util serverless-leo, serverless-convention Packages @immobiliarelabs/backstage-plugin-gitlab-backend, @immobiliarelabs/backstage-plugin-gitlab, @immobiliarelabs/backstage-plugin-ldap-auth-backend, @immobiliarelabs/backstage-plugin-ldap-auth Ces packages totalisaient environ ~127K téléchargements dans le mois précédant l’analyse. ...

🔍 Contexte Publié le 29 avril 2026 par Wiz (Benjamin Read, Merav Bar, Shay Berkovich, Gili Tikochinski), cet article documente une opération de supply chain active baptisée “Mini Shai Hulud”, attribuée avec haute confiance au groupe TeamPCP. 🎯 Mécanisme d’attaque Des versions malveillantes de packages npm légitimes de l’écosystème SAP ont été publiées avec un script preinstall injectant setup.mjs, exécuté automatiquement lors de npm install. Ce dropper télécharge le runtime Bun puis exécute un payload obfusqué (execution.js), permettant l’exécution de code attaquant avant la fin de l’installation. ...