The Hacker Group Turning Supply Chain Attacks Into a Sport | Threat Wire

Voici un résumé des points clés de la vidéo : La semaine a été marquée par d'importants développements dans le domaine de la cybersécurité, notamment des attaques sur la chaîne d'approvisionnement logicielle et des changements dans les politiques de sécurité. L'écosystème NPM est en difficulté, avec l'incident "mini Shai Hulud" affectant des centaines de paquets dans de nombreux espaces de noms, y compris TanStack, Minstral AI et Guardrails AI. L'attaquant a exploité une combinaison de techniques, notamment des pull requests malveillantes, le cache GitHub Actions et l'extraction de jetons OIDC. Ce ver, baptisé "mini Shai Hulud", présente une particularité : un mécanisme géographique de "kill switch" qui, basé sur la localisation et un nombre aléatoire, peut déclencher une suppression complète du système. L'équipe derrière cette attaque, Team PCP, a même ouvert une compétition en open-sourçant le ver et en offrant 1000 USD à celui qui mènerait la plus grande attaque de chaîne d'approvisionnement. Deux OpenAI employés ont été infectés, nécessitant des mises à jour de certificats de signature pour leurs produits. Parallèlement, RubyGems a subi une attaque coordonnée par bots, visant à spammer le registre avec plus de 500 paquets malveillants, le tout dans le but d'exfiltrer des données via XSS, et non d'attaquer les utilisateurs finaux. RubyGems a dû désactiver la création de nouveaux comptes pendant quatre jours. Dans le monde du développement, Bun, un runtime JavaScript, a vu une refonte majeure de sa base de code en Rust, avec plus d'un million de modifications, fusionnée en production sans incident apparent, malgré la surprise de la communauté. D'autres nouvelles incluent une vulnérabilité de 15 ans découverte dans Nginx (CVE 2026 42945) permettant une exécution de code à distance ou un déni de service. Un ancien ingénieur d'Atlassian a publié une vidéo détaillée sur l'infrastructure de l'entreprise après son licenciement. La FCC a assoupli son interdiction sur les routeurs fabriqués à l'étranger. Le noyau Linux a établi de nouvelles règles pour les bugs découverts par IA, les traitant comme publics par défaut. Des hackers ont utilisé des jetons GitHub volés pour dérober la base de code complète de Grafana. Enfin, Apple progresse vers une messagerie plus sécurisée en introduisant le chiffrement de bout en bout pour RCS dans iOS 26.5, alignant ainsi iMessage avec des standards plus ouverts et sécurisés, bien que son déploiement dépende des opérateurs et des versions d'Android.