https://cyberveille.ch/tags/sandworm_mode/ Recent content in SANDWORM_MODE on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 21 May 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-05-21-mini-shai-hulud-ver-auto-propagant-compromet-170-packages-npm-pypi-via-teampcp/ Thu, 21 May 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-05-21-mini-shai-hulud-ver-auto-propagant-compromet-170-packages-npm-pypi-via-teampcp/ <h2 id="-contexte">🎯 Contexte</h2> <p>Source : Tenable Research Special Operations (RSO), publiée le 21 mai 2026. L&rsquo;article présente une FAQ détaillée sur la campagne <strong>Mini Shai-Hulud</strong>, quatrième génération d&rsquo;un ver auto-propagant opéré par le groupe <strong>TeamPCP</strong>, actif depuis septembre 2025 dans les écosystèmes <strong>npm</strong> et <strong>PyPI</strong>.</p> <h2 id="-évolution-du-ver-shai-hulud">🐛 Évolution du ver Shai-Hulud</h2> <p>Quatre générations ont été identifiées :</p> <ul> <li><strong>Shai-Hulud</strong> (septembre 2025) : premier malware auto-réplicant observé dans npm, vol de tokens mainteneur</li> <li><strong>SHA1-Hulud</strong> (novembre 2025) : fonctionnalité wiper et collecte de credentials améliorée</li> <li><strong>SANDWORM_MODE</strong> (mars 2026) : ciblage adaptatif avec énumération des pipelines CI/CD</li> <li><strong>Mini Shai-Hulud</strong> (avril 2026) : variante la plus destructrice, active au moment de la publication</li> </ul> <h2 id="-capacités-techniques-de-mini-shai-hulud">⚙️ Capacités techniques de Mini Shai-Hulud</h2> <ul> <li><strong>Contournement des attestations SLSA Build Level 3</strong> via Sigstore (première mondiale)</li> <li><strong>Extraction de tokens OIDC</strong> depuis la mémoire du processus GitHub Actions runner</li> <li><strong>Hooks de persistance</strong> ciblant les agents de codage IA et les IDEs développeurs</li> <li>Propagation <strong>cross-écosystème</strong> (npm et PyPI)</li> <li><strong>Triple exfiltration redondante</strong> : serveur C2 dédié, réseau Session (décentralisé), dead drops via GitHub API</li> </ul> <h2 id="-trois-chaînes-dattaque">🔗 Trois chaînes d&rsquo;attaque</h2> <ol> <li><strong>Vol de token + publication automatisée massive</strong> : hook preinstall téléchargeant le runtime Bun pour exécuter un payload obfusqué</li> <li><strong>Hijack OIDC avec contournement de provenance</strong> (utilisé dans la vague TanStack) : extraction de token OIDC depuis la mémoire du runner, publication via le pipeline légitime avec attestation cryptographique valide</li> <li><strong>Injection PyPI</strong> : dropper injecté dans le fichier d&rsquo;initialisation du package, téléchargeant un payload depuis une infrastructure contrôlée par l&rsquo;attaquant</li> </ol> <h2 id="-cve-associée">🏛️ CVE associée</h2> <p><strong>CVE-2026-45321</strong> (CVSSv3 : 9.6, VPR : 9.2) : injection de code malveillant dans 42 packages @tanstack via trois failles chaînées dans la configuration GitHub Actions de TanStack. L&rsquo;attaquant a créé un fork sous un compte renommé, ouvert une PR déclenchant un workflow <code>pull_request_target</code>, empoisonné le cache GitHub Actions, puis extrait des tokens OIDC pour publier <strong>84 versions malveillantes en moins de six minutes</strong> avec des attestations SLSA valides.</p>