En bref
Que s'est-il passé ?
Une vague du ver Mini Shai-Hulud frappe l'écosystème de visualisation AntV d'Alibaba : le compte npm compromis atool (qui publie timeago.js, 1,5 M dl/sem, et maintient @antv) pousse des versions malveillantes en cartographie, graphes et utilitaires JS.
Chaque paquet lit la mémoire du runner GitHub Actions pour extraire les secrets CI/CD en clair, moissonne 130+ chemins (AWS, GCP, Azure, Kubernetes, Vault, wallets), puis exfiltre via un dead-drop dans le dépôt antvis/G2 et un C2 de repli (t.m-kosche.com, déguisé en collecteur OpenTelemetry).
Le ver exploite les jetons volés : plus de 2 200 dépôts GitHub publics déjà créés (noms tirés de Dune, mention « Shai-Hulud: Here We Go Again »), rendant le rayon d'explosion visible en temps réel. L'une des plus grandes campagnes npm documentées.
Identités de publication courtes (OIDC), détection de republication à l'échelle d'un namespace, filtrage de l'egress (dead-drop et C2), permissions minimales des runners, et rotation immédiate des secrets exposés.
Comment l'attaquant a procédé
Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :
La leçon à en tirer
Trusted publishing ; rotation d'urgence des secrets ; détection de republication anormale.
Les exigences SOCLE qui auraient limité cet incident
Cet incident se rattache à 23 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :