Aller au contenu
Sécurité medium

Shai-Hulud - intercom-client (multi-cloud)

3 min de lecture
Point de compromission dans la chaîne Rupture · étape Registres
Source
amont
Dépendances
deps
Build & CI
ci
Packaging
artefact
Release
provenance
Registres
Registres
Déploiement
admission
Runtime
exécution
Rayon d'explosion — compromission à l'étape Registres, propagation possible aux consommateurs. Domaines : Orchestration, Poste de travail, Source, Intégration, Release, Secrets
Gravité critique
Le ver Shai-Hulud pivote vers le multi-cloud : intercom-client@7.0.4 détourné (361 000 téléchargements/semaine), vol de credentials AWS, GCP et Azure.
361 510/sem
dl intercom-client
29 h
après les 2 premiers
6>17,8 Mo
taille du paquet
SLSA absent
en 7.0.4 (vs 7.0.3)

En bref

Date
04/05/2026
Gravité
Critique
Étape de la chaîne
Registres
Domaines SOCLE
Orchestration+ Poste de travail, Source, Intégration, Release, Secrets

Que s'est-il passé ?

Contexte

Le ver Shai-Hulud pivote vers le multi-cloud : 29 heures après mbt et @cap-js/sqlite, il compromet intercom-client@7.0.4 (SDK officiel Intercom, ~361 510 téléchargements/semaine).

Mécanisme

La version malveillante est publiée le 30 avril 2026 à 14h41 UTC via un pipeline OIDC GitHub Actions détourné, confirmant la propagation par la CI/CD volée aux victimes précédentes. Le preinstall node setup.mjs charge un voleur (router_runtime.js) via Bun.

Impact

Le voleur étend sa collecte au multi-cloud : credentials AWS via l'IMDS (169.254.169.254), jetons GCP, chaînes Azure, clés privées. Les attestations SLSA présentes en 7.0.3 disparaissent en 7.0.4 ; le paquet passe de 6 à 17,8 Mo.

Parades

Identités de publication courtes et gate d'approbation sur les pipelines OIDC, blocage de l'IMDS en CI (IMDSv2, hop limit), épinglage et vérification des attestations SLSA avant adoption.

Chronologie de l'attaque

30 avril 2026
Compromission d'intercom-client

À 14h41 UTC, intercom-client@7.0.4 est publié via un pipeline OIDC détourné, 29 heures après les deux premiers paquets de la vague.

Comment l'attaquant a procédé

Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :

La leçon à en tirer

Ce qu'il faut retenir

Identités de publication courtes (OIDC) ; détection de republication ; confinement du rayon d'explosion (egress filtre).

Les exigences SOCLE qui auraient limité cet incident

Cet incident se rattache à 23 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :

Pour aller plus loin

Ce site vous est utile ?

Sachez que moins de 1% des lecteurs soutiennent ce site.

Je maintiens +700 guides gratuits, sans pub ni tracing. Aujourd'hui, ce site ne couvre même pas mes frais d'hébergement, d'électricité, de matériel, de logiciels, mais surtout de cafés.

Un soutien régulier, même symbolique, m'aide à garder ces ressources gratuites et à continuer de produire des guides de qualité. Merci pour votre appui.

Abonnez-vous et suivez mon actualité DevSecOps sur LinkedIn