GitHub

Selon KrebsOnSecurity (Brian Krebs, 16 septembre 2025), une campagne visant l’écosystème NPM a vu l’émergence de Shai-Hulud, un ver auto-propagatif qui vole des identifiants (tokens NPM, clés cloud, etc.) et exfiltre ces secrets en les publiant dans des dépôts GitHub publics. Au moins 187 paquets NPM ont été touchés, dont des paquets liés à CrowdStrike (rapidement retirés par le registre NPM). Le ver recherche un token NPM dans l’environnement lors de l’installation d’un paquet compromis. S’il en trouve, il modifie les 20 paquets les plus populaires accessibles avec ce token, s’y copie puis publie de nouvelles versions, déclenchant une propagation en chaîne. Il utilise l’outil open source TruffleHog pour détecter des secrets (GitHub, NPM, AWS, Azure, GCP, SSH, API), tente de créer de nouvelles GitHub Actions et publie les données volées. Le design cible Linux/macOS et ignore Windows. ...

Selon Wiz Research (billet de recherche), une attaque supply‑chain baptisée « s1ngularity » a compromis des packages Nx sur npm et déployé un malware utilisant des CLIs d’IA pour identifier des fichiers sensibles et exfiltrer des données via des comptes GitHub compromis. • Nature et impact: attaque supply‑chain sur des packages Nx (npm). Le malware, alimenté par des CLIs d’IA (Claude, Gemini, Amazon Q), a entraîné des fuites de milliers de secrets et la publication de dépôts privés, touchant plus de 1 700 victimes. GitHub a procédé à des révocations massives d’identifiants en réponse. ...

Selon ReversingLabs, des chercheurs ont découvert deux paquets npm malveillants — colortoolsv2 et mimelib2 — intégrés à une campagne sophistiquée de supply chain ciblant des développeurs de cryptomonnaies. La campagne combine livraison de malware via blockchain et manipulation sociale sur GitHub pour paraître légitime. Le code JavaScript des paquets est fortement obfusqué et interroge un smart contract Ethereum afin d’obtenir des URLs pointant vers un malware de seconde étape. Le contrat 0x1f117a1b07c108eae05a5bccbe86922d66227e2b héberge les commandes malveillantes, ce qui permet d’éviter la détection basée sur des URLs codées en dur. Le payload de seconde étape (SHA1: 021d0eef8f457eb2a9f9fb2260dd2e391f009a21) agit comme téléchargeur de composants additionnels. ...

Selon une analyse signée par Brandon Mitchell, une faute de frappe de ghcr.io vers ghrc.io expose à un site configuré pour déclencher un flux d’authentification de registre et potentiellement dérober des identifiants GitHub. 🚨 Le domaine ghrc.io affiche en surface une page par défaut nginx, mais répond sous l’API OCI « /v2/ » avec un HTTP 401 et un en-tête WWW-Authenticate: Bearer realm=“https://ghrc.io/token", mimant le comportement d’un registre de conteneurs. Cet en-tête pousse des clients comme Docker, containerd, podman et les CRI Kubernetes à solliciter un jeton auprès de « https://ghrc.io/token », ce qui n’a aucune raison légitime sur un nginx par défaut et indique un objectif de vol d’identifiants. ...

Selon Wiz (blog), une attaque de supply chain a touché le 26 août 2025 le système de build Nx sur npm via des versions malveillantes contenant un malware post-install. Le code a collecté des actifs sensibles (wallets crypto, tokens GitHub/npm, clés SSH, fichiers .env, etc.) et a exfiltré ces données vers des dépôts publics créés au sein des comptes GitHub des victimes (s1ngularity-repository). GitHub a désactivé ces dépôts le 27 août à 9h UTC, mais la fenêtre d’exposition (~8h) a permis des téléchargements par les attaquants et d’autres acteurs. ...

Selon un papier de recherche soumis à l’IEEE par Ruby Nealon, l’attaque XZ Utils (backdoor visant les processus sshd via la bibliothèque liblzma chargée indirectement par systemd) a mis en lumière la persona « JiaT75 », qui a bâti la confiance pendant près de deux ans avant d’auto-fusionner une version piégée. L’étude montre qu’il est possible d’identifier, à partir de données publiques GitHub et Git, des signaux d’anomalies comportementales associés à de telles opérations de social engineering dans l’open source. ...

Selon BleepingComputer, une campagne d’espionnage menée par un acteur soutenu par un État cible des ambassades étrangères en Corée du Sud pour déployer le malware XenoRAT à partir de dépôts GitHub malveillants. L’attaque repose sur l’abus de référentiels GitHub servant de vecteur de distribution, permettant d’acheminer et d’installer XenoRAT, un outil d’accès à distance, sur les systèmes des cibles 🕵️‍♂️🐀. Les cibles identifiées sont des ambassades étrangères en Corée du Sud, dans un contexte d’espionnage étatique. ...

Cet article de ReversingLabs (RL) rapporte une attaque de la chaîne d’approvisionnement affectant l’extension ETHcode, un outil pour le développement de contrats intelligents Ethereum sur Visual Studio Code. ETHcode, développé par l’organisation GitHub 7finney, a été compromis par une pull request (PR) soumise par un utilisateur nommé Airez299. Cette PR, apparemment innocente, a introduit une dépendance malveillante nommée keythereum-utils, qui a permis l’exécution de code malveillant. L’analyse de RL a révélé que keythereum-utils contenait un code JavaScript fortement obfusqué, conçu pour lancer un script PowerShell caché téléchargeant un second payload potentiellement destiné à voler des actifs crypto ou compromettre des contrats Ethereum en développement. ...

L’article publié sur le blog de cybersécurité d’Any.Run offre une analyse détaillée des cyberattaques marquantes survenues en juin 2025. Parmi les attaques notables, le Braodo Stealer est mis en avant pour son exploitation de GitHub comme vecteur d’attaque. Ce malware a su tirer parti des fonctionnalités de la plateforme pour se propager efficacement, posant des défis significatifs en termes de détection et de prévention. En parallèle, le NetSupportRAT a été distribué via des LOLBins (Living Off the Land Binaries), une technique qui utilise des outils légitimes déjà présents sur les systèmes pour exécuter des actions malveillantes. Cette méthode rend la détection plus complexe et souligne l’ingéniosité croissante des cybercriminels. ...

L’article de Check Point Research révèle une campagne malveillante ciblant les utilisateurs de Minecraft via le réseau Stargazers Ghost, opérant sur GitHub. Les attaquants distribuent des mods Minecraft infectés qui volent des données personnelles. La campagne utilise un processus en plusieurs étapes pour infecter les systèmes. Les mods malveillants, déguisés en outils de triche, téléchargent un voleur de données en Java, suivi d’un autre en .NET, ciblant spécifiquement les utilisateurs ayant Minecraft installé. ...