GitHub

🗓️ Contexte Source : cyberattaque.org, publié le 19 octobre 2026 et mis à jour le 22 octobre 2026. L’incident a été confirmé publiquement par Octave Klaba, fondateur d’OVHcloud, via un message sur X (Twitter). 🔓 Nature de l’attaque L’attaque constitue un cas typique d’attaque de la chaîne d’approvisionnement logicielle (supply chain). L’attaquant a compromis le compte GitHub d’un développeur OVHcloud et l’a utilisé pour remplacer les binaires associés aux releases officielles du CLI par des versions contenant un binaire malveillant. Le code source principal du CLI n’a pas été modifié ; seule la chaîne de distribution a été ciblée. ...

🗓️ Contexte Source : BankInfoSecurity, publié le 26 octobre 2026. Cet article rapporte une attaque de type supply chain ayant ciblé LiteLLM, une passerelle open-source pour modèles d’IA, avec des analyses complémentaires de Microsoft, Wiz et Socket. 🔑 Vecteur initial : credential exposé non révoqué En mai 2026, LiteLLM a accidentellement publié une clé maître haute-privilège de son Agent Platform sans la révoquer. Le 10 octobre 2026, un attaquant s’est connecté à la plateforme via cette clé et a extrait un token OAuth GitHub CLI de niveau owner, donnant accès à l’ensemble des dépôts. ...

🔍 Contexte Publié le 25 octobre 2026 par Wiz Research, cet article documente la campagne Gheist, active depuis le 15 septembre 2026, qui abuse de tokens GitHub volés pour exfiltrer des secrets de dépôts à grande échelle. ⚙️ Mécanisme d’attaque Pour chaque dépôt accessible via un token compromis, l’outil : Crée une branche nommée ci-sync- suivi de 6 caractères aléatoires Commit un fichier .github/workflows/sync-check.yml avec le message ci: sync config Le workflow déclenché encode les secrets en base32 pour contourner le masquage natif de GitHub Télécharge les logs via l’API GitHub puis supprime l’exécution en quelques secondes Utilise le user agent gheist pour ses requêtes API L’exfiltration transite exclusivement par l’API GitHub, sans domaine C2 ni connexion sortante détectable. ...

🔍 Contexte Source : opensourcemalware.com, publié le 20 octobre 2026. L’article analyse une attaque de chaîne d’approvisionnement ciblant l’outil CLI officiel d’OVHcloud (ovh/ovhcloud-cli), attribuée au groupe GlassWorm, découverte le 19 octobre 2026. 🎯 Déroulement de l’attaque Entre 12h47 et 13h12 UTC le 19 octobre 2026, un attaquant a remplacé les binaires de release des versions v0.11.0 à v0.15.0 du CLI OVHcloud sur GitHub. L’opération a été réalisée via le compte GitHub HassenBF, un contributeur légitime d’OVH, en utilisant l’API GitHub Releases standard. Aucun workflow GitHub Actions n’a été déclenché. ...

🔍 Contexte Source : SecurityWeek, publié le 13 octobre 2026. Meta a notifié environ 1 500 personnes, majoritairement des employés basés aux États-Unis, suite à une intrusion dans plusieurs de ses dépôts GitHub privés. 🛠️ Déroulement de l’incident Un groupe externe non identifié a obtenu un accès aux dépôts GitHub de Meta en utilisant les identifiants volés d’un employé. L’intrusion a été détectée quelques semaines avant la publication de l’article. L’équipe de sécurité de Meta a coupé l’accès des attaquants et a fait appel à GitHub ainsi qu’aux forces de l’ordre. ...

🔍 Contexte Publié le 26 septembre 2026 sur opensourcemalware.com, cet article présente une analyse technique approfondie de l’évolution du malware PolinRider, attribué à la Corée du Nord (DPRK), ciblant des développeurs via des dépôts GitHub infectés. 🎯 Mécanisme d’infection initial L’attaque repose sur deux fichiers clés dans des projets VS Code : .vscode/tasks.json : contient une tâche qui s’exécute automatiquement à l’ouverture du dossier et lance le payload public/fonts/fa-solid-400.woff2 : fichier contenant un payload JavaScript obfusqué, dissimulé par des espaces blancs Le vecteur d’infection initial est vraisemblablement une attaque Contagious Interview (fausse interview d’embauche demandant de cloner et exécuter un projet). ...

🔍 Contexte Publié le 1er septembre 2026, cet article correspond à la page GitHub du projet GitHub_Recon, un outil open-source développé par le compte t3l3m3try. Il s’agit d’une plateforme de threat intelligence défensive orientée détection de fuites de données sur GitHub. 🛠️ Description de l’outil GitHub Recon est une plateforme multi-tenant conçue pour surveiller les dépôts GitHub publics à la recherche de données sensibles exposées : 280 types de secrets couverts par 349 patterns de détection (regex + seuils d’entropie) 247 requêtes de recherche configurables couvrant le code, les commits et les issues Détection de : clés AWS, tokens GitHub/GitLab, credentials de bases de données, clés privées, secrets de services cloud, paiement, IA/ML, etc. Scoring de criticité 0-100 basé sur l’entropie, le contexte, la récence des commits et le type de fichier Niveaux de sévérité : CRITICAL → INFO 🏗️ Architecture technique Frontend : React 18, TypeScript, Tailwind CSS Backend : Node.js, Express.js, TypeScript Base de données : SQLite avec Prisma ORM Auth : JWT (access tokens courts + refresh tokens rotatifs en cookies httpOnly), bcrypt, TOTP 2FA, verrouillage de compte API : GitHub REST API via Octokit 👥 Gestion des accès Quatre rôles définis : Super Admin, Organization Admin, Analyst, Viewer, avec des permissions granulaires par utilisateur et des contrôles organisationnels (activation/désactivation des scans, export, limites de domaines et d’utilisateurs). ...

🛡️ Contexte Publié le 26 juillet 2026 sur BleepingComputer, cet article rapporte l’introduction de nouvelles mesures défensives temporelles par GitHub et PyPI (Python Package Index) pour limiter l’impact des attaques sur la chaîne d’approvisionnement logicielle (supply chain). Ces mesures font suite à plusieurs incidents notables survenus au cours de l’année écoulée, notamment : Les attaques ciblant les packages ‘chalk’ et ‘debug’ L’opération s1ngularity La campagne Shai-Hulud L’attaque supply chain GhostAction ⏱️ Mécanisme Dependabot Cooldown (GitHub) Dependabot, l’outil de gestion des dépendances de GitHub, intègre désormais un délai de 72 heures (3 jours) avant d’appliquer automatiquement les mises à jour de packages. L’objectif est de réduire le risque d’adoption automatique de packages malveillants nouvellement publiés. ...

🔍 Contexte Source : BleepingComputer, publié le 10 juin 2026. L’article s’appuie sur un rapport de SafeDep concernant la fuite du code source du framework Miasma sur GitHub. 🦠 Description du malware Miasma est un framework de vol de credentials évoluant à partir du ver Shai-Hulud, dont le code avait également été précédemment leaké sur GitHub. Il partage avec son prédécesseur de nombreuses fonctionnalités, techniques et portions de code. Le malware opère selon un cycle autonome de propagation de type ver : ...

🗓️ Contexte Source : DataBreachToday.eu — Article publié le 8 juin 2026. L’incident s’est produit le vendredi précédant la publication. Les chercheurs de StepSecurity ont documenté et suivi l’attaque. 🎯 Nature de l’attaque Une attaque de chaîne d’approvisionnement (supply-chain) baptisée Miasma a frappé l’écosystème de développement Microsoft. Les attaquants ont utilisé un compte contributeur préalablement compromis pour injecter du code malveillant dans les dépôts Azure de Microsoft. ⚡ Propagation et impact 73 dépôts GitHub compromis en moins de 2 minutes Dépôts affectés : Azure, Azure-Samples et Microsoft, incluant des projets liés à Azure Functions et au framework Durable Task GitHub a temporairement désactivé les dépôts concernés avant leur restauration après investigation Les dépôts ont été rétablis après suppression du code malveillant par Microsoft et GitHub 🛠️ Mécanisme technique Les attaquants ont planté des fichiers de configuration malveillants conçus pour s’exécuter automatiquement lorsque les dépôts étaient ouverts via des outils de codage assistés par IA : ...