Le code source d’une cyberattaque majeure de 2026 rendu public sur GitHub
Une inquiétante nouvelle ébranle la communauté de la cybersécurité : le code source complet de « Miasma », un ver informatique responsable de certaines des attaques les plus dévastatrices de 2026, a été rendu accessible sur la plateforme GitHub. Ce ver, qui avait déjà compromis des paquets cruciaux pour Red Hat et affecté des centaines de dépôts Microsoft en un temps record, est désormais à la portée de quiconque possède les compétences minimales pour cloner un référentiel.
Un arsenal complet désormais accessible
Baptisé Miasma, ce malware n’est pas un simple ver, mais une véritable boîte à outils sophistiquée. Selon les analyses de la société de sécurité SafeDep, le kit permet de lancer des attaques ciblées contre les principaux gestionnaires de paquets tels que npm, PyPI et RubyGems, ainsi que contre des dépôts d’entreprise et des flux d’intégration et de déploiement continus (CI/CD) sur GitHub. L’exploitation de ces vulnérabilités repose sur le vol d’identifiants, rendant la détection et la prévention d’autant plus complexes.
Ce n’est pas la première fois que le groupe de cybercriminels TeamPCP, à l’origine de Miasma, publie des éléments de son arsenal. En mai 2026, le code du ver « Mini Shai-Hulud », dont Miasma est une évolution, avait déjà été rendu public, accompagné d’une incitation à mener des campagnes d’attaque. Les conséquences ne se sont pas fait attendre, avec une vague d’infections majeures sur npm suivie par des compromissions ciblées de paquets liés à Red Hat et, plus récemment, une attaque fulgurante contre des dépôts Microsoft.
Mécanismes d’attaque et empreinte européenne
Miasma exploite la confiance inhérente au modèle open source et à la collaboration sur des plateformes comme GitHub. Une de ses techniques les plus insidieuses consiste à masquer son code malveillant dans des fichiers de configuration apparemment anodins. Ces fichiers sont interprétés par les outils de développement, tels que npm, comme des instructions légitimes pour compiler un module, ouvrant ainsi une brèche dans le système sans éveiller de soupçons.
Une fois actif, Miasma est capable de dérober une multitude d’informations sensibles : jetons d’authentification GitHub, secrets de chaînes CI/CD, identifiants de fournisseurs cloud, clés SSH, et autres données critiques. Ces informations sont ensuite chiffrées et exfiltrées vers des dépôts publics, parfois en dissimulant le trafic dans des requêtes légitimes adressées à des APIs d’intelligence artificielle. Le ver peut ensuite utiliser les identifiants volés pour publier des versions infectées des paquets dont ses victimes sont les mainteneurs, perpétuant ainsi le cycle d’infection.
L’Europe n’est pas épargnée par ces menaces. Des allégations ont émergé en mai 2026 concernant le vol de 450 dépôts privés de Mistral AI, une société française spécialisée dans l’IA, un incident que l’entreprise a lié à la famille de malwares Shai-Hulud et au groupe TeamPCP. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) en France, via son CERT-FR, suit activement l’évolution de cette série d’attaques depuis septembre 2025. Ces événements surviennent dans un contexte où le règlement européen sur la cyber-résilience (Cyber Resilience Act) renforce les obligations de sécurité pour les éditeurs de logiciels, soulignant l’importance croissante de la sécurisation de la chaîne d’approvisionnement logicielle.
Une nouvelle ère pour le clonage de dépôts
Traditionnellement, les infections par des malwares dans la chaîne d’approvisionnement logicielle se produisaient lors de l’installation de paquets. Miasma représente une évolution significative en ciblant directement les environnements de développement et les outils utilisés par les développeurs. Le simple fait de cloner un dépôt, une action courante et considérée comme inoffensive, peut désormais mener à une compromission. Les assistants de codage basés sur l’IA, qui exécutent automatiquement des instructions, peuvent être leurrés par des fichiers de configuration malveillants injectés, transformant un outil de productivité en vecteur d’attaque.
Suite à ces découvertes, GitHub a réagi en retirant les dépôts contenant le code de Miasma. Cependant, la nature open source et la facilité de duplication du code font que ces malwares ressurgissent rapidement sous d’autres identités. La mise à disposition publique de l’arsenal complet de Miasma constitue un défi majeur pour les acteurs de la cybersécurité, abaissant significativement la barrière technique pour les cybercriminels désireux de mener des attaques sophistiquées. La vigilance et l’adoption de pratiques de sécurité renforcées sont plus que jamais essentielles pour les développeurs et les organisations.
