Un infostealer a compromis des dizaines de dépôts sur GitHub, incitant la plateforme open source à prendre des mesures drastiques.
Plusieurs dépôts GitHub avaient soudainement disparu vendredi soir, ont rapporté des développeurs étonnés sur le forum d’assistance de la société mère Microsoft. Ce que GitHub avait d’abord qualifié de « problèmes de gestion interne » s’est finalement avéré être une attaque de malware à grande échelle. 73 dépôts ont dû être mis hors ligne pour empêcher toute propagation ultérieure.
Miasma
La bête malveillante s’est avérée être une variante de Miasma, un ver infostealer qui exécute du code malveillant lorsque vous lancez des fichiers dans un environnement de développement ou une plateforme de codage IA. Le ver a été repéré pour la première fois dans plusieurs dépôts Azure. Par mesure de précaution, ceux-ci ont été mis hors ligne le plus rapidement possible et les pipelines CI/CD ont été interrompus.
Ce n’est pas un hasard, car le ver Miasma et ses variantes sont apparus à plusieurs reprises récemment dans des campagnes d’attaque similaires sur des environnements Azure et open source. Le ver serait l’œuvre du groupe de pirates TeamPCP, le groupe qui avait déjà attaqué GitHub en mai. Cependant, comme le code est disponible publiquement, il est impossible de dire si le groupe est également derrière cette attaque.
Attaques contre l’open source
Les plateformes open source sont une cible privilégiée, car pas plus tard que la semaine dernière, c’était au tour de Red Hat. 80 000 utilisateurs auraient téléchargé des paquets infectés. Les auteurs visent une propagation rapide de code disponible publiquement.
GitHub a donc dû intervenir rapidement. En moins de deux minutes, 73 dépôts infectés ont été temporairement mis hors ligne. La plateforme open source a également été elle-même la cible d’un piratage, au cours duquel 3 800 dépôts internes ont été volés. Aucun environnement client n’a été touché, affirme GitHub. En avril, elle a corrigé une vulnérabilité qui exposait des millions de dépôts.