TTP

🎯 Contexte Source : Tenable Research Special Operations (RSO), publiée le 21 mai 2026. L’article présente une FAQ détaillée sur la campagne Mini Shai-Hulud, quatrième génération d’un ver auto-propagant opéré par le groupe TeamPCP, actif depuis septembre 2025 dans les écosystèmes npm et PyPI. 🐛 Évolution du ver Shai-Hulud Quatre générations ont été identifiées : Shai-Hulud (septembre 2025) : premier malware auto-réplicant observé dans npm, vol de tokens mainteneur SHA1-Hulud (novembre 2025) : fonctionnalité wiper et collecte de credentials améliorée SANDWORM_MODE (mars 2026) : ciblage adaptatif avec énumération des pipelines CI/CD Mini Shai-Hulud (avril 2026) : variante la plus destructrice, active au moment de la publication ⚙️ Capacités techniques de Mini Shai-Hulud Contournement des attestations SLSA Build Level 3 via Sigstore (première mondiale) Extraction de tokens OIDC depuis la mémoire du processus GitHub Actions runner Hooks de persistance ciblant les agents de codage IA et les IDEs développeurs Propagation cross-écosystème (npm et PyPI) Triple exfiltration redondante : serveur C2 dédié, réseau Session (décentralisé), dead drops via GitHub API 🔗 Trois chaînes d’attaque Vol de token + publication automatisée massive : hook preinstall téléchargeant le runtime Bun pour exécuter un payload obfusqué Hijack OIDC avec contournement de provenance (utilisé dans la vague TanStack) : extraction de token OIDC depuis la mémoire du runner, publication via le pipeline légitime avec attestation cryptographique valide Injection PyPI : dropper injecté dans le fichier d’initialisation du package, téléchargeant un payload depuis une infrastructure contrôlée par l’attaquant 🏛️ CVE associée CVE-2026-45321 (CVSSv3 : 9.6, VPR : 9.2) : injection de code malveillant dans 42 packages @tanstack via trois failles chaînées dans la configuration GitHub Actions de TanStack. L’attaquant a créé un fork sous un compte renommé, ouvert une PR déclenchant un workflow pull_request_target, empoisonné le cache GitHub Actions, puis extrait des tokens OIDC pour publier 84 versions malveillantes en moins de six minutes avec des attestations SLSA valides. ...

🔍 Contexte Cet article est une notification d’incident publiée sur le site du procureur général du Maine (maine.gov), datée du 20 mai 2026, émanant de Morningstar (société de services financiers et d’analyse d’investissement). 📅 Chronologie de l’incident 12 novembre 2025 : début de l’accès non autorisé aux systèmes Morningstar 13 novembre 2025 : détection de l’activité suspecte et mise hors ligne de certains systèmes 13 novembre 2025 : coupure de l’accès de l’acteur non autorisé ⚠️ Nature de l’incident Un acteur non autorisé a obtenu un accès à certains systèmes de Morningstar pendant une fenêtre d’environ 24 heures. Durant cette période, l’acteur a potentiellement pu visualiser et/ou obtenir des informations stockées sur les systèmes compromis. ...

📡 Contexte Le 21 mai 2026, GreyNoise publie un signal d’alerte basé sur les données de son tag SonicWall SonicOS API Scanner, signalant une activité de scan anormalement élevée ciblant les interfaces de gestion SonicOS de SonicWall. 📊 Activité observée Entre le 9 et le 18 mai 2026, GreyNoise a enregistré un pic significatif de sessions de scan. Le 12 mai 2026 constitue le pic le plus élevé avec environ 597 000 sessions en une seule journée, soit environ 46 fois le volume quotidien habituel sur ce tag dans les 30 jours précédents. ...

🏥 Contexte Cette notification provient du site officiel du procureur général de l’État du Maine (maine.gov), publiée le 20 mai 2026. Elle concerne un incident de sécurité informatique survenu chez Southern California University of Health Sciences (SCUHS). 📅 Chronologie de l’incident 23-24 mars 2026 : Un acteur non autorisé accède au réseau de SCUHS et consulte et copie des fichiers. 24 mars 2026 : SCUHS prend connaissance de l’activité non autorisée sur son réseau. Des spécialistes externes en cybersécurité sont immédiatement mobilisés pour sécuriser le réseau et évaluer l’étendue de l’incident. 🔍 Nature de l’incident L’investigation a confirmé que certains fichiers stockés sur le réseau de SCUHS ont été consultés et copiés (exfiltration de données) par un acteur non autorisé. Une revue exhaustive des fichiers impactés a été conduite pour identifier les informations concernées et les personnes affectées. ...

🔍 Contexte Publié le 18 mai 2026 par Phil Stokes sur le blog de SentinelOne, cet article présente l’analyse technique d’une nouvelle variante du stealer macOS SHub, identifiée sous le build tag “Reaper”. Des recherches antérieures de Moonlock, Jamf et Malwarebytes avaient déjà documenté SHub Stealer et ses techniques associées. 🎯 Vecteur d’infection et leurres Reaper utilise de faux installeurs WeChat et Miro comme leurres initiaux, hébergés sur des domaines typosquattés dont mlcrosoft[.]co[.]com (usurpant Microsoft). La chaîne d’infection change de déguisement à chaque étape : ...

🗓️ Contexte Article publié le 21 mai 2026 sur BleepingComputer par Sergiu Gatlan. Il s’agit d’un post-mortem partiel de la compromission des dépôts internes de GitHub, rattachée à la campagne supply chain orchestrée par le groupe TeamPCP. 🔓 Incident GitHub Le CISO de GitHub, Alexis Wales, a confirmé que la brèche ayant touché 3 800 dépôts internes résulte de l’installation par un employé d’une version malveillante de l’extension VS Code Nx Console (version 18.95.0). Cette version empoisonnée a été disponible sur le Visual Studio Marketplace pendant environ 18 minutes et sur OpenVSX pendant 36 minutes, avec respectivement 28 et 41 téléchargements directs, mais environ 6 000 activations enregistrées depuis VSCode. ...

📰 Source : BleepingComputer | Date de publication : 20 mai 2026 | Contexte : Opération conjointe entre la cyberpolice ukrainienne et les forces de l’ordre américaines ciblant un opérateur d’infostealer. 🎯 Faits principaux Un suspect de 18 ans, résidant à Odessa (Ukraine), a été identifié comme opérateur d’une campagne de malware infostealer active entre 2024 et 2025. La cible principale était les utilisateurs d’une boutique en ligne basée en Californie. ...

🏢 Contexte Cet article est une notification officielle de violation de données publiée par Bomco sur le portail du procureur général de l’État du Maine (maine.gov), datée du 20 mai 2026. 📅 Chronologie de l’incident 14-16 juin 2025 : Un acteur non autorisé accède à certains fichiers du réseau de Bomco et les copie potentiellement. 17 juin 2025 : Bomco prend connaissance de l’incident et lance une investigation. 20 avril 2026 : Fin de la revue détaillée des fichiers impliqués, réalisée avec l’aide de spécialistes tiers en revue de données. 20 mai 2026 : Publication de la notification aux personnes concernées. 🔍 Nature de l’incident Un acteur non autorisé a obtenu un accès à certains fichiers au sein du réseau de Bomco. Les fichiers ont potentiellement été copiés. L’investigation a été conduite en interne avec l’assistance de tiers spécialisés. ...

🔍 Contexte Source : StepSecurity (blog officiel), publié le 18 mai 2026. L’article constitue une analyse technique détaillée d’un incident de supply chain ayant ciblé l’extension nrwl.angular-console (Nx Console) pour Visual Studio Code, comptant plus de 2,2 millions d’installations. 🎯 Vecteur d’accès initial L’attaquant a obtenu un token GitHub personnel (PAT) d’un contributeur Nx lors d’un incident de supply chain antérieur non identifié publiquement. Ce token disposait d’un accès en écriture au dépôt nrwl/nx et, directement ou indirectement, aux credentials de publication VS Code Marketplace (VSCE_PAT). ...

🗓️ Contexte Article publié le 20 mai 2026 par Picus Security (picussecurity.com), rédigé par Umut Bayram. Il s’agit d’une analyse technique approfondie de la classe de vulnérabilités Dirty Frag, découverte et rapportée par Hyunwoo Kim (@v4bel), divulguée le 7 mai 2026. 🔍 Description de Dirty Frag Dirty Frag est une classe de vulnérabilités du noyau Linux permettant d’obtenir les privilèges root sur la majorité des distributions Linux. Elle repose sur l’enchaînement de deux vulnérabilités distinctes qui exploitent le mécanisme de zero-copy via splice() pour injecter une référence à une page du page cache en lecture seule dans un fragment (frag) d’un sk_buff, que le noyau modifie ensuite lors du traitement cryptographique en place. ...