"A Mini Shai-Hulud Has Appeared": Bun-Based Stealer Hits SAP @cap-js and mbt npm Packages
Analysis of ChainDrop, an npm supply chain worm extracting GitHub Actions runner secrets and using Ethereum smart contracts for C2 routing.
← Thèmes
📦
Code & dépendances
Paquets piégés, dépendances à risque, fins de support : ce que ça change pour votre code, et quoi faire.
75 articles
S’abonner (RSS)Keyv-Linked npm Worm Poisons Hundreds of Packages, Plants Claude Code and VS Code Hooks
A Keyv-linked npm worm poisoned 353 versions across 79 package names, stealing developer and CI credentials while repository hooks remained present.
Axios npm Package Compromised: Supply Chain Attack Delivers Cross-Platform RAT
Free malicious Rust Crate!! https://crates.io/crates/width-table/0.1.0
Traditional Supply Chain Compromise Remains Rare
In contrast to what we observed in the open source ecosystem, GTIG assesses with high confidence that traditional software supply chain compromise, the manipulation of source code or update/distribution mechanisms (T1195.002), remains rare. The handful of identified cases in 2025 and early 2026 were predominantly cyber espionage incidents with intentionally limited targeting scopes. In the most significant case, North Korean threat actor UNC4899 reportedly used social engineering to compromise a
30 juil.
Disrupting supply chain attacks on npm and GitHub Actions
For a timely response to security incidents involving compromised accounts or stolen credentials, GitHub Enterprise owners can now use new “break-glass” capabilities to instantly revoke all credentials for a given…
28 juil.
Deprecating the ORIGIN attribute
The BGP Origin attribute in its original meaning has been out of use for years. Yet, the BGP Origin attribute has high priority in the best route selection algorithm, right after the AS Path length, and it's being used inconsistently over the Internet to manipulate the route preference. This document updates RFC 4271 and RFC 7606 by making the BGP Origin attribute half-optional and explicitly allowing its scrubbing to zero (IGP).
24 juil.
Two kinds of Dependabot updates
Dependabot can fix vulnerable dependencies for you by raising pull requests with security updates.
23 juil.
BYOK keeps the workflow and changes the bill
Integrate your preferred custom models with GitHub Copilot by using your own LLM API keys, and make them available for organizations in your enterprise account.
23 juil.
Our latest intelligence (and response) on npm supply chain attacks
That same intelligence-to-action challenge is at the center of our main stage session at Black Hat. On Wednesday, August 5, 2026, from 2:30 PM PT to 3:00 PM PT, Aarti Borkar, Corporate Vice President (CVP), Microsoft Security, and Tanmay Ganacharya, Vice President of Microsoft Security Research and Threat Intelligence, will share intelligence and insights into the ongoing supply chain campaigns impacting all areas of the threat landscape. The talk, Poisoned at the Source: Inside the Hunt for Sup
17 juil.
10. What is GitHub Actions?
Set up your first GitHub Actions workflow in this how-to guide.
15 juil.
Deprecation Notice: system_tags Condition
Learn how to use labels to categorize and manage objects within Privilege Zones for better organization.
15 juil.
How GitHub used secret scanning to reach inbox zero
Learn how GitHub's security tools can help you identify, remediate, and prevent secret leaks.
13 juil.
When Scale Becomes the Threat
View the history of software supply chain attacks, open source components analyzed by Sonatype
13 juil.
The build phase — establishing the foundation
Vibe coding and deploying are transforming software development. Learn how to use natural language prompts to build and launch apps instantly.
13 juil.
Auditing the Axios supply chain attack
A North Korea-nexus threat actor targeted the popular axios NPM package in a massive supply chain attack.
13 juil.
Deprecations and removals from Golden Gate
Update your apps to use new features, and test your apps against API changes.
13 juil.
Ep. 5 \ MFA bypassé par l'IA, la fibre qui vous écoute & Supply Chain : la confiance a ses limites !
Au programme 🎙️ : L'IA s'invite des deux côtés de la barrière, votre wifi vous scanne et votre fibre vous écoute. Bienvenue dans mai 2026.Bonjour à toutes et à tous ! Pour ce cinquième épisode de BackSlash, Florian, Clément et Yoann reviennent sur un mois dense, très dense, où l'IA a tour à tour servi d'arme offensive pour contourner le MFA, de scanner à failles pour Mozilla Firefox, et d'outil de découverte pour trois vulnérabilités Linux en quelques jours. Et pendant ce temps-là, un gamin de 12 ans contournait la vérification d'âge biométrique britannique avec un crayon à sourcil. La cybersécurité ne manque décidément pas d'imagination.----------Revue d'actus 📰 :Le tour des sujets qui ont agité le mois :- Premier cas documenté d'IA utilisée pour développer un exploit 0-day contournant le MFA- Salve de vulnérabilités sous Linux et Windows : CopyFail, DirtyFrag, FragNasier, DirtyDecrypte- Claude Mythos découvre 271 vulnérabilités dans Firefox en un seul run- Ruview : le projet GitHub qui transforme votre wifi en scanner de corps humain- La fibre optique comme micro d'ambiance discret et indétectable- Online Safety Act au Royaume-Uni : vérification d'âge biométrique... déjouée à la moustache----------Focus du mois 🔎 :Les Supply Chain Attacks, c'est la mode ou quoi ?SolarWinds, NotPetya, Axios, Shai-Hulud... Les attaques par chaîne d'approvisionnement se multiplient. Pourquoi c'est structurellement difficile à défendre, comment réduire la surface d'exposition côté technique et côté gouvernance, et ce que NIS2 et DORA commencent à imposer concrètement.----------Les recos du mois 🎯Chaque chroniqueur partage ses coups de cœur : outils, ressources, lectures, visionnages. Ce que l'équipe fait vraiment, au quotidien.----------Chapitrage :00:00 Introduction01:45 Revue d'actu : IA un problème sur le 2FA06:12 Revue d'actu : Sale temps pour Linux et Windows08:43 Revue d'actu : Claude Mythos trouve 271 vulnérabilités dans Firefox11:11 Revue d'actu : Transformer le WiFi en scanner humain15:26 Revue d'actu : Votre fibre vous écoute22:09 Revue d'actu : Contourner la vérification d'âge avec de fausses moustaches27:46 Focus du mois : La mode des supply chain attacks ?35:50 Focus du mois : Supply chain attacks, comment se protéger ?50:20 Les recos du mois55:14 Outro----------Retrouvez-nous sur nos réseaux :🌐 https://backslash-podcast.fr🎥 https://www.youtube.com/@BackSlashOnAir🐦 https://x.com/backslashonair👔 https://www.linkedin.com/company/backslashonair🦋 https://bsky.app/profile/backslashonair.bsky.social🐘 https://infosec.exchange/@backslashonair
Ep. 3 \ Bébé-surveillance, chute d’YggTorrent & OpSec : comment se protéger des fuites de données ?
Au programme 🎙️ : IA militaire, fin d'un empire pirate et tactiques de protection face aux fuites.Bonjour à toutes et à tous ! Pour ce troisième épisode de mars 2026, l'équipe de BackSlash s'attaque à une réalité brutale : selon l'ANSSI, les exfiltrations de données ont bondi de 50%. Puisque les fuites sont devenues inévitables, Florian, Clément et Yoann explorent ce mois-ci comment l'OpSec peut devenir votre meilleur bouclier pour rendre vos données inutilisables entre les mains des pirates.----------Revue d'actus 📰 :On commence par un tour d'horizon des dossiers qui prouvent que personne n'est à l'abri :Microsoft vs. Cloud ActAnthropic vs. le PentagoneUn bot IA fait du hacking sur GitHub1,1 million de babyphones exposésLa chute d'YggTorrentPanorama de la cybermenace 2025 de l'ANSSI----------Focus du mois 🔎 : Comment lutter contre les fuites de données ? Les attaquants préfèrent désormais voler plutôt que chiffrer. Quels leviers techniques, organisationnels et réglementaires pour y répondre ? C'est le débat du mois.----------Le jeu 🆚Et pour clôturer cet épisode, Clément revient avec son Jeopardy. Qui de Florian ou de Yoann sortira vainqueur et évitera l'organisation du jeu du mois d'Avril ? 😱----------Chapitrage :00:00 Introduction01:10 Revue d'actu : Microsoft vs Cloud Act03:39 Revue d'actu : Anthropic vs le Gouvernement Américain07:23 Revue d'actu : Comment un bot AI repose la question de l'éthique12:12 Revue d'actu : N'achetez pas de babyphones connectés !15:09 Revue d'actu : Ygg, fin de règne pour le roi du torrent20:46 Revue d'actu : Panorama de la cybermenace 202523:59 Focus du mois : L'anatomie d'une fuite30:52 Focus du mois : Comment limiter les fuites de données ?49:55 Jeu de fin d’émission : Yoann va-t-il enfin perdre ?58:34 Outro----------Retrouvez-nous sur nos réseaux :🌐 https://backslash-podcast.fr🎥 https://www.youtube.com/@BackSlashOnAir🐦 https://x.com/backslashonair👔 https://www.linkedin.com/company/backslashonair🦋 https://bsky.app/profile/backslashonair.bsky.social🐘 https://infosec.exchange/@backslashonair----------Sources :Numérama - « Une réponse stupide à une question stupide » : le patron de Microsoft réagit aux craintes françaises sur l’accès américain à nos données Dwarkesh - The most important question nobody's asking about AICybernews - Unprecedented GitHub hacking spree: “security research” AI bot compromises major repos from Microsoft, Datadog, and othersStepSecurity - hackerbot-claw: An AI-Powered Bot Actively Exploiting GitHub Actions - Microsoft, DataDog, and CNCF Projects Hit So FarNumérama - Qui peut réellement voir votre bébé ? Un chercheur français révèle une immense faille dans les babyphones du commerceYGGtorrent — Fin de partiegr0leak (drama)ANSSI - Panorama de la cybermenace 2025Thread X V2F (OPSec)Bonjour la fuite
Les agents IA de GitHub peuvent faire fuiter un dépôt privé via une injection de prompt
Une attaque par injection de prompt affectant Agentic Workflows de GitHub a permis de dévoiler des dépôts de code privés. Une raison de plus de...
Ep.692 - RadioCSIRT Flash info cybersécurité du vendredi 10 juillet 2026
🔑 La CISA publie le retour d'expérience d'un incident interne du 15 mai 2026 : un prestataire avait copié un dépôt de build et de déploiement, avec des iden...
📡 Le vibe coding face aux enjeux de sécurité informatique Le vibe coding, cette méthode de créa...
En 2025, une nouvelle expression s’est imposée dans le vocabulaire de la tech : le « vibe coding ». Derrière ce terme intrigant se cache une pratique qui...
Le malware Hades multiplie les techniques pour infecter des packages PyPI
Des attaquants mènent une campagne contre la supply chain logicielle avec un malware nommé Hades. Sophistiqué, il combine plusieurs techniques pour...
Apple : les temps forts de la WWDC 2025 – 10/06
Les annonces phare sur les OSFinies les séquences par OS, on optimise partout et on nettoie les vitres. Les apps se chargent plus vite, la recherche enfin pertinente et à une vitesse décente, recherche des plus beaux sourires de vos photos et vidéos, planificateur de processeur (CPU) optimisé (y compris anciens iPhone), gestion du JavaScript accélérée, switch wifi / connexion cellulaireContrôle parental : refonte complèteOn est en 2026 : IA, agents et vibe codingSiri AI, app dédiée, des promesses mais pas partout (la bêta et l’Apple Watch est notre amie)L’édition de photos se met à niveau (vraiment), la génération d’images aussiVibe coding de raccourcis ou l’aveu de l’échec du nocodeChangement des mots de passe par agent IA5 nouveaux Apple Foundation Models, : plus complexe et complet qu’il n’y paraîtCe qui sera disponible ou pasAutres remarques et nouveautés Entre politique et annonces ringardesDes annonces sans les citer : un Mac tactile (dessin dans Notes, pull down to refresh, affichage des bordures des fenêtres pour l’accessibilité), l’iPhone pliant, un MacBook Neo avec 12 Go de RAMCompatibilité des OS : M pour le Mac, comme iOS 26 pour l’iPhone et c’est plus critique sur l’Apple Watch (SE 3, 9, ou Ultra 2 minimum), et quelques iPad abandonnés (il faut au moins un processeur A13 ou plus exactement un A12Z (iPad Pro de 2020)Quelques évolutions dans Notes (format markdown, liens entre les sections)Albums vraiment partagés avec autres OSRâle d’agonie ? Des annonces visionOS (fenêtres courbées, centre de contrôle revus, panoramas d’après vos photos, Siri au regard)En réserveAdieu Hidden Bar, les services de création de cartesDivorce acté entre les chargeurs et leurs câbles soudés USB-C en EuropeBaisse de prix de l’abonnement Google Gemini AI PlusLes prix des forfaits en France vont-ils augmenter ?La voiture électrique sauve des vies (enfin évite des morts)La conclusion du Joy-Con Drift en FranceNos lienshttps://techcafe.fr/https://fabriceneuman.fr/https://profduweb.com