Logiciel malveillant · · 7 min de lecture
Des comptes de développeurs piratés servent à implanter des voleurs d’identifiants sur GitHub et npm
Une campagne appelée GhostAction utilise des connexions GitHub volées pour glisser du code voleur de secrets dans des centaines de projets. Nous la suivons en direct.
Ce qui se passe
GitHub Actions permet à un projet de lancer des tâches automatiques, comme des tests ou des publications, chaque fois que le code change. Ces tâches détiennent souvent des « secrets » : des jetons qui peuvent publier un paquet, déployer un site Web ou accéder à un compte infonuagique. GhostAction en profite. Avec la connexion volée d’un responsable, l’attaquant ajoute un flux de travail qui ressemble à une amélioration de sécurité. Il s’exécute au changement suivant et envoie discrètement les secrets du projet à un serveur que contrôle l’attaquant.
La campagne n’est pas nouvelle. GitGuardian l’a signalée pour la première fois en septembre 2025 : elle avait touché 817 dépôts de 327 utilisateurs GitHub et exfiltré au moins 3 325 secrets. Le 7 octobre 2026, GitGuardian a indiqué qu’une nouvelle vague avait poussé le flux de travail dans 772 dépôts publics appartenant à 373 utilisateurs et organisations entre le 31 août et le 30 septembre, en ciblant 2 577 secrets. Lors de cette vague, GitHub a retenu la plupart des exécutions en attente d’approbation, si bien que beaucoup moins se sont réellement exécutées.
On ne sait pas avec certitude comment l’attaquant obtient les connexions. Selon StepSecurity, la source la plus plausible est un jeton d’accès ayant fui dans des journaux de voleurs d’informations ou des listes d’identifiants. GitGuardian ajoute que les identifiants GitHub volés sont échangés et réutilisés par plusieurs groupes sans lien entre eux. C’est le lien avec la sécurité de tous les jours : les voleurs d’informations prennent les connexions enregistrées et les jetons de session sur des ordinateurs ordinaires, et certains de ces ordinateurs appartiennent à des développeurs.
Mises à jour
Où en sont les choses dimanche
Les chiffres les plus récents datent du 9 octobre. StepSecurity a trouvé 378 dépôts dont la branche principale contenait encore le flux de travail malveillant, un nombre qui devrait varier à mesure que les propriétaires font le ménage. Socket, StepSecurity et The Hacker News ont tous rapporté qu’aucune version malveillante de paquet n’avait été publiée avec les identifiants PyPI ou crates.io volés à ce moment-là. StepSecurity précise que cela ne veut pas dire que ces identifiants sont sûrs tant qu’ils n’ont pas été remplacés. Nous ajouterons une mise à jour dès qu’il y aura du nouveau, solidement documenté.
Sources (en anglais) : StepSecurity, Socket, The Hacker News.
Socket : des centaines de comptes de plus en cause
Socket a publié son analyse de la vague du 8 octobre : il a compté le flux de travail dans 346 dépôts et constaté qu’il s’était exécuté avec succès. Dans une mise à jour le même jour, Socket a indiqué avoir repéré plus de 500 comptes GitHub ayant ajouté le flux de travail malveillant à des dizaines de milliers de dépôts depuis le 7 octobre. Plus tard dans la journée, GitGuardian a ajouté à son propre rapport une note sur la nouvelle vague.
Sources (en anglais) : Socket, GitGuardian.
318 dépôts en 16 minutes, dont athenadriver d’Uber
Le compte de Henry Wu, auteur original d’athenadriver d’Uber, a poussé le même flux de travail dans 318 dépôts entre 14 h 10 et 14 h 26 HP : 39 de ses propres projets et 279 copies (forks), en terminant par uber/athenadriver, auquel il avait encore accès en écriture. StepSecurity a récupéré le journal d’exécution d’athenadriver et affirme que le serveur de l’attaquant a accusé réception des données quatre secondes après le début de la tâche.
Source (en anglais) : StepSecurity.
Le compte du responsable d’un moteur de jeu populaire est utilisé en premier
Avec le compte de Takashi Kitao, auteur du moteur de jeu pyxel (environ 18 400 étoiles sur GitHub), l’attaquant a poussé le flux de travail dans 27 dépôts. Dans la copie de pyxel, le flux de travail nommait les identifiants de publication PyPI et crates.io, soit les clés permettant de publier de nouvelles versions de la bibliothèque. Selon StepSecurity, l’attaquant a relancé la tâche à la main deux fois après l’avoir modifiée.
Cette version en fait plus que les vagues précédentes. Elle lit tout l’historique du projet et cherche 13 types d’identifiants, dont des clés AWS, des clés d’API de fournisseurs d’IA et des jetons GitHub : une clé ajoutée une seule fois et supprimée il y a des années reste donc exposée.
Sources (en anglais) : StepSecurity, Socket.
Par ailleurs : un paquet npm détourné diffuse un ver voleur d’identifiants
La version 0.5.144 de tensorlake, un paquet npm téléchargé environ 12 000 fois par semaine, a été publiée avec un logiciel malveillant qui s’exécute pendant l’installation. Socket l’a signalée 11 minutes plus tard. Il vole des identifiants comme des jetons npm et GitHub, des clés infonuagiques et des clés SSH, et se sert des jetons npm volés pour republier d’autres paquets. C’est une campagne différente de GhostAction (les chercheurs la rattachent à la famille Shai-Hulud), mais elle vise la même chose : les identifiants des développeurs.
L’avis de GitHub indique que tout ordinateur qui l’a installé doit être considéré comme entièrement compromis. StepSecurity a constaté qu’il installe aussi une tâche en arrière-plan qui supprime votre dossier personnel si le jeton GitHub volé est révoqué : l’ordre du nettoyage compte donc (voir plus bas).
Sources (en anglais) : Socket, GitHub Advisory Database, StepSecurity.
Si vous maintenez du code sur GitHub
- Cherchez le flux de travail. Les fichiers sont
.github/workflows/security-audit.yml,github_actions_security.ymlousecurity-check.yml, habituellement avec le message de validation « Add security audit workflow » ou « Add Github Actions Security workflow ». StepSecurity recommande de considérer tout fichier de ce type ajouté depuis le 31 août 2026 comme une intrusion confirmée. - Supprimez-le de toutes les branches et vérifiez vos copies (forks). Il s’exécute à chaque envoi sur n’importe quelle branche.
- Révoquez la connexion GitHub qui a servi, pas seulement les secrets du dépôt : sessions, jetons d’accès personnels, autorisations OAuth et clés SSH. Sinon, le même accès peut resservir.
- Remplacez tout ce que la fouille de l’historique a pu atteindre : chaque secret Actions, et chaque identifiant ajouté un jour au dépôt, même supprimé depuis.
- Exigez une approbation pour les exécutions de flux de travail quand c’est possible. StepSecurity a observé ce réglage bloquer une tentative d’exfiltration cette semaine.
Si vous avez installé tensorlake 0.5.144, le CERT national de la Thaïlande et StepSecurity recommandent tous deux de supprimer la tâche gh-token-monitor avant de révoquer un jeton GitHub, puis de remplacer vos identifiants depuis un ordinateur sain.
Si vous n’écrivez pas de code
Cette histoire ne vous oblige à rien changer sur vos appareils. Deux habitudes restent utiles : utilisez un gestionnaire de mots de passe et des clés d’accès plutôt que des mots de passe enregistrés dans le navigateur, et méfiez-vous des logiciels piratés et des téléchargements « gratuits », la voie habituelle des voleurs d’informations.
Sources
- StepSecurity, « GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories » (en anglais), 9 octobre 2026
- Socket, « New GhostAction Wave Hits Hundreds of Repos, Expanding Beyond CI/CD Secrets to Cloud Credentials » (en anglais), 9 octobre 2026
- GitGuardian, « The campaign that never stopped: tracking GhostAction from 2025 to 2026 » (en anglais), 7 octobre 2026 (mis à jour le 9 octobre)
- The Hacker News, « Credential-Stealing GitHub Actions Workflows Planted in Tens of Thousands of Repositories » (en anglais), 9 octobre 2026
- Socket, « TensorLake npm SDK Compromised in ChainDrop Shai-Hulud Credential-Stealing Attack » (en anglais), 8 octobre 2026
- GitHub Advisory Database, « Malware in tensorlake (GHSA-rqxj-g25x-4v9v) » (en anglais), 8 octobre 2026
- StepSecurity, « Tensorlake npm Package Compromised: A Worm With a Hostage Token » (en anglais), octobre 2026
- ThaiCERT, « Supply Chain Attack Through Tensorlake npm Package Steals Credentials and Spreads Malware » (en anglais), 9 octobre 2026
Les nouveaux articles, par courriel.
Environ une fois par mois. Des notes sur la vie privée en termes simples, rien d’autre. Je ne partage jamais votre adresse.