Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

GitHub disables Microsoft repos pushing password-stealing malware

1 minute de lecture

Mis à jour :

Compromission de la chaîne d’approvisionnement logicielle chez Microsoft

Microsoft a temporairement désactivé 73 dépôts GitHub officiels (notamment au sein des organisations Azure et MicrosoftDocs) le 5 juin dernier, après la découverte de contenus malveillants. Cet incident, lié à la campagne de cyberattaques « Miasma/Shai-Hulud », a provoqué des interruptions majeures dans les pipelines d’intégration continue de nombreux développeurs, notamment via la mise hors ligne de l’action Azure/functions-action.

Points clés :

  • Origine de l’attaque : La campagne Miasma cible la chaîne d’approvisionnement en compromettant des comptes de développeurs pour injecter des commits non révisés dans des dépôts légitimes, permettant ainsi l’exfiltration de jetons d’authentification (OIDC).
  • Impact : En plus des dépôts GitHub, des versions malveillantes du paquet durabletask ont été identifiées sur le gestionnaire de paquets PyPI en mai.
  • Cibles privilégiées : Les outils de développement basés sur l’IA (VS Code, Claude Code, etc.) sont spécifiquement visés par ces campagnes de type « vers » informatique.
  • État actuel : Tous les dépôts ont été restaurés et sont désormais considérés comme sains. Les clients potentiellement exposés ont été notifiés par Microsoft.

Vulnérabilités :

  • CVE non spécifiée : L’attaque repose sur l’exploitation des workflows GitHub et l’exfiltration de jetons d’accès (OIDC tokens). Il ne s’agit pas d’une faille logicielle isolée, mais d’une exploitation de la confiance dans la chaîne d’approvisionnement logicielle (Supply Chain Attack).

Recommandations pour les développeurs :

  • Verrouillage des dépendances : Utiliser des fichiers de verrouillage (lockfiles) pour figer les versions des paquets utilisés.
  • Gestion des mises à jour : Instaurer un délai de sécurité (multi-days delay) avant d’adopter de nouvelles versions de paquets pour laisser aux communautés le temps d’identifier d’éventuelles compromissions.
  • Environnements isolés : Tester systématiquement les nouveaux builds et les mises à jour dans des environnements isolés avant tout déploiement en production.

Source

Vous pourriez aimer