PolinRider

🔍 Contexte Publié le 25 octobre 2026 par Wiz Research, cet article documente la campagne Gheist, active depuis le 15 septembre 2026, qui abuse de tokens GitHub volés pour exfiltrer des secrets de dépôts à grande échelle. ⚙️ Mécanisme d’attaque Pour chaque dépôt accessible via un token compromis, l’outil : Crée une branche nommée ci-sync- suivi de 6 caractères aléatoires Commit un fichier .github/workflows/sync-check.yml avec le message ci: sync config Le workflow déclenché encode les secrets en base32 pour contourner le masquage natif de GitHub Télécharge les logs via l’API GitHub puis supprime l’exécution en quelques secondes Utilise le user agent gheist pour ses requêtes API L’exfiltration transite exclusivement par l’API GitHub, sans domaine C2 ni connexion sortante détectable. ...

🔍 Contexte Publié le 26 septembre 2026 sur opensourcemalware.com, cet article présente une analyse technique approfondie de l’évolution du malware PolinRider, attribué à la Corée du Nord (DPRK), ciblant des développeurs via des dépôts GitHub infectés. 🎯 Mécanisme d’infection initial L’attaque repose sur deux fichiers clés dans des projets VS Code : .vscode/tasks.json : contient une tâche qui s’exécute automatiquement à l’ouverture du dossier et lance le payload public/fonts/fa-solid-400.woff2 : fichier contenant un payload JavaScript obfusqué, dissimulé par des espaces blancs Le vecteur d’infection initial est vraisemblablement une attaque Contagious Interview (fausse interview d’embauche demandant de cloner et exécuter un projet). ...

🔍 Contexte Le 28 juillet 2026, l’équipe de recherche de Socket a publié une analyse technique détaillée de la compromission de deux packages npm bêta appartenant à l’espace de noms @joyfill : @joyfill/layouts@0.1.2-2773.beta.0 et @joyfill/components@4.0.0-rc24-2773-beta.4. Joyfill est un éditeur de SDK pour l’intégration de formulaires, documents et PDFs dans des applications web et mobiles. 🎯 Nature de l’attaque Les deux versions malveillantes contiennent un implant JavaScript injecté au moment du bundling (présent dans les source maps), qui s’exécute au chargement du module (import-time), rendant npm install --ignore-scripts inefficace. L’implant utilise un mécanisme de résolution de payload via des transactions blockchain publiques (Tron, Aptos, BNB Smart Chain) pour récupérer du code chiffré, le déchiffrer par XOR, et l’évaluer dynamiquement. ...

🔍 Contexte Analyse technique publiée le 12 juin 2026 par SafeDep, documentant une attaque de type supply chain ciblant le dépôt open source Egonex-AI/Understand-Anything (outil code-to-knowledge-graph, 57 000+ étoiles GitHub). L’article est une analyse post-mortem détaillée avec déobfuscation complète du payload. 🎯 Vecteur d’attaque L’acteur AsimRaza10 a soumis trois pull requests frauduleuses (PR #198, #206, #261) entre le 24 et le 26 mai 2026, toutes pointant vers le même commit malveillant (8d30be36). Chaque PR présentait une description légitime fictive (correction React, édition README, fichiers de santé communautaire) ne correspondant pas au diff réel. Les deux seuls fichiers modifiés étaient : ...