GitHub

🔍 Contexte Publié le 26 septembre 2026 sur opensourcemalware.com, cet article présente une analyse technique approfondie de l’évolution du malware PolinRider, attribué à la Corée du Nord (DPRK), ciblant des développeurs via des dépôts GitHub infectés. 🎯 Mécanisme d’infection initial L’attaque repose sur deux fichiers clés dans des projets VS Code : .vscode/tasks.json : contient une tâche qui s’exécute automatiquement à l’ouverture du dossier et lance le payload public/fonts/fa-solid-400.woff2 : fichier contenant un payload JavaScript obfusqué, dissimulé par des espaces blancs Le vecteur d’infection initial est vraisemblablement une attaque Contagious Interview (fausse interview d’embauche demandant de cloner et exécuter un projet). ...

🔍 Contexte Publié le 1er septembre 2026, cet article correspond à la page GitHub du projet GitHub_Recon, un outil open-source développé par le compte t3l3m3try. Il s’agit d’une plateforme de threat intelligence défensive orientée détection de fuites de données sur GitHub. 🛠️ Description de l’outil GitHub Recon est une plateforme multi-tenant conçue pour surveiller les dépôts GitHub publics à la recherche de données sensibles exposées : 280 types de secrets couverts par 349 patterns de détection (regex + seuils d’entropie) 247 requêtes de recherche configurables couvrant le code, les commits et les issues Détection de : clés AWS, tokens GitHub/GitLab, credentials de bases de données, clés privées, secrets de services cloud, paiement, IA/ML, etc. Scoring de criticité 0-100 basé sur l’entropie, le contexte, la récence des commits et le type de fichier Niveaux de sévérité : CRITICAL → INFO 🏗️ Architecture technique Frontend : React 18, TypeScript, Tailwind CSS Backend : Node.js, Express.js, TypeScript Base de données : SQLite avec Prisma ORM Auth : JWT (access tokens courts + refresh tokens rotatifs en cookies httpOnly), bcrypt, TOTP 2FA, verrouillage de compte API : GitHub REST API via Octokit 👥 Gestion des accès Quatre rôles définis : Super Admin, Organization Admin, Analyst, Viewer, avec des permissions granulaires par utilisateur et des contrôles organisationnels (activation/désactivation des scans, export, limites de domaines et d’utilisateurs). ...

🛡️ Contexte Publié le 26 juillet 2026 sur BleepingComputer, cet article rapporte l’introduction de nouvelles mesures défensives temporelles par GitHub et PyPI (Python Package Index) pour limiter l’impact des attaques sur la chaîne d’approvisionnement logicielle (supply chain). Ces mesures font suite à plusieurs incidents notables survenus au cours de l’année écoulée, notamment : Les attaques ciblant les packages ‘chalk’ et ‘debug’ L’opération s1ngularity La campagne Shai-Hulud L’attaque supply chain GhostAction ⏱️ Mécanisme Dependabot Cooldown (GitHub) Dependabot, l’outil de gestion des dépendances de GitHub, intègre désormais un délai de 72 heures (3 jours) avant d’appliquer automatiquement les mises à jour de packages. L’objectif est de réduire le risque d’adoption automatique de packages malveillants nouvellement publiés. ...

🔍 Contexte Source : BleepingComputer, publié le 10 juin 2026. L’article s’appuie sur un rapport de SafeDep concernant la fuite du code source du framework Miasma sur GitHub. 🦠 Description du malware Miasma est un framework de vol de credentials évoluant à partir du ver Shai-Hulud, dont le code avait également été précédemment leaké sur GitHub. Il partage avec son prédécesseur de nombreuses fonctionnalités, techniques et portions de code. Le malware opère selon un cycle autonome de propagation de type ver : ...

🗓️ Contexte Source : DataBreachToday.eu — Article publié le 8 juin 2026. L’incident s’est produit le vendredi précédant la publication. Les chercheurs de StepSecurity ont documenté et suivi l’attaque. 🎯 Nature de l’attaque Une attaque de chaîne d’approvisionnement (supply-chain) baptisée Miasma a frappé l’écosystème de développement Microsoft. Les attaquants ont utilisé un compte contributeur préalablement compromis pour injecter du code malveillant dans les dépôts Azure de Microsoft. ⚡ Propagation et impact 73 dépôts GitHub compromis en moins de 2 minutes Dépôts affectés : Azure, Azure-Samples et Microsoft, incluant des projets liés à Azure Functions et au framework Durable Task GitHub a temporairement désactivé les dépôts concernés avant leur restauration après investigation Les dépôts ont été rétablis après suppression du code malveillant par Microsoft et GitHub 🛠️ Mécanisme technique Les attaquants ont planté des fichiers de configuration malveillants conçus pour s’exécuter automatiquement lorsque les dépôts étaient ouverts via des outils de codage assistés par IA : ...

📰 Source : SecurityAffairs, publié le 4 juin 2026. Le chercheur en sécurité Ammar Askar a découvert une vulnérabilité zero-day sérieuse dans github.dev, la version navigateur de Visual Studio Code, et a publié un exploit fonctionnel (PoC) une heure après en avoir informé un contact chez GitHub, sans ouvrir de ticket MSRC ni respecter de fenêtre de 90 jours. 🔍 Nature de la vulnérabilité : Lorsque github.com transmet un token OAuth à github.dev, ce token n’est pas limité au dépôt concerné. Il dispose d’un accès complet à tous les dépôts publics et privés accessibles par l’utilisateur. Un attaquant capable de modifier le fichier .vscode/extensions.json d’un dépôt peut y recommander une extension VS Code malveillante. ...

🔍 Contexte Analyse publiée le 5 juin 2026 par StepSecurity (Ashish Kurmi). L’article documente une attaque de type supply chain ciblant les organisations GitHub de Microsoft, dans le cadre de la campagne Miasma Worm. 🎯 Incident du 5 juin 2026 Un commit malveillant (hash 5f456b8) a été poussé dans le dépôt Azure/durabletask via un compte contributeur préalablement compromis. Ce même compte avait déjà été utilisé lors de l’attaque PyPI du 19 mai 2026. Le commit présentait plusieurs signaux d’alerte : ...

🗓️ Contexte Article publié le 8 juin 2026 par Nigel Douglas (Cloudsmith), analysant la campagne du ver Miasma qui a frappé l’écosystème open-source au cours de la semaine précédente. La source est le blog officiel de Cloudsmith, spécialisé en sécurité de la supply chain. 🦠 Description du malware Miasma est une variante évoluée et auto-réplicante du ver Mini Shai-Hulud, open-sourcé par le groupe TeamPCP. Le dépôt malveillant était décrit comme « Miasma: The Spreading Blight » et « Hades - The End for the Damned ». Le ver génère un payload chiffré de manière unique pour chaque infection, rendant les IOCs basés sur les hachages inutilisables pour la détection. ...

🗓️ Contexte Source : HivePro Threat Advisory, publié le 25 mai 2026. Cet article documente l’escalade majeure de la campagne de supply chain du groupe TeamPCP (alias PCPcat, ShellForce, DeadCatx3, CipherForce, Persy_PCP, UNC6780) au cours du mois de mai 2026. 🎯 Acteur de menace TeamPCP est un groupe à motivation financière, actif depuis fin 2025, initialement documenté comme un crew d’exploitation cloud-native ciblant des APIs Docker et clusters Kubernetes exposés. En mars 2026, il a pivoté vers une campagne de supply chain en cascade ciblant Trivy, Checkmarx KICS, LiteLLM, Telnyx et des dizaines de packages npm. ...

🔍 Contexte Source : KrebsOnSecurity, publié le 18 mai 2026. L’article rapporte la découverte et la divulgation responsable d’une fuite massive de données sensibles de la CISA (Cybersecurity & Infrastructure Security Agency) via un dépôt GitHub public maintenu par un contractant de la société Nightwing, basée à Dulles, Virginie. 📁 Nature de l’exposition Le dépôt GitHub nommé “Private-CISA” a été créé le 13 novembre 2025 et contenait : Des clés administratives AWS GovCloud pour trois serveurs (fichier importantAWStokens) Un fichier AWS-Workspace-Firefox-Passwords.csv avec des identifiants en clair pour des dizaines de systèmes internes CISA Des credentials pour le système “LZ-DSO” (Landing Zone DevSecOps), l’environnement de développement sécurisé de l’agence Des credentials pour l’Artifactory interne (dépôt de packages logiciels) Des logs, tokens, sauvegardes et autres assets sensibles Des mots de passe faibles suivant le schéma [nom_plateforme][année_courante] 🚨 Découverte et validation La fuite a été détectée par Guillaume Valadon (chercheur chez GitGuardian), dont la plateforme scanne en continu les dépôts publics à la recherche de secrets exposés. Philippe Caturegli (fondateur de Seralys) a validé que les credentials AWS permettaient une authentification à haut niveau de privilège sur trois comptes AWS GovCloud. ...