REX Cyber · Veille du 2026-09-18. Faits attribués à socket.dev.
Des opérateurs de PolinRider ont utilisé un compte GitHub compromis pour infecter quatre versions de développement d’un paquet Packagist.
Ce qui s’est passé
Les auteurs de socket.dev rapportent les constatations suivantes :
- Des opérateurs de PolinRider ont utilisé un compte GitHub compromis pour infecter quatre versions de développement d’un paquet Packagist.
- Les opérateurs compromettent des comptes de développeurs, puis ajoutent du code malveillant aux dépôts sources.
- Le code initial résout l’infrastructure C2 via un mécanisme de dépôt mort, puis télécharge des payloads infostealer depuis les serveurs résolus.
Déroulé documenté
Les étapes suivent l’ordre des documents lus. Cet ordre ne prouve pas leur chronologie dans l’attaque. Les dates sont indiquées seulement lorsque la source les rattache explicitement à l’action ; les autres dates restent non renseignées. La couverture est limitée aux extraits collectés et aux détails vérifiés.
- Date non renseignée : Des opérateurs de PolinRider ont utilisé un compte GitHub compromis pour infecter quatre versions de développement d’un paquet Packagist. Source : socket.dev.
- Date non renseignée : Des fichiers de configuration modifiés exécutent automatiquement du code pendant la construction du projet. Source : socket.dev.
- Date non renseignée : D’autres échantillons utilisent le paramètre runOn avec la valeur folderOpen dans .vscode/tasks.json pour exécuter du code à l’ouverture du dépôt par un développeur dans un IDE compatible VS Code. Source : socket.dev.
- Date non renseignée : Les envois forcés répétés observés dans le dépôt concordent avec la réécriture de l’historique utilisée par la campagne. Source : socket.dev.
- Date non renseignée : Les données publiques de GitHub ne donnent qu’une vision partielle de l’intrusion. Source : socket.dev.
- Date non renseignée : PolinRider insère du JavaScript lourdement obfusqué directement dans index.php et l’exécute via la fonction PHP shell_exec. Source : socket.dev.
- Date non renseignée : Le comportement permet au code source malveillant déjà planté dans un dépôt d’être disponible via un autre écosystème sans que les opérateurs aient besoin de voler les identifiants ou jetons. Source : socket.dev.
- Date non renseignée : Le code malveillant est présent sur dev-main, mais aucune version stable malveillante n’a été publiée à ce jour. Source : socket.dev.
- Date non renseignée : Les opérateurs semblent disposés à maintenir l’accès. Source : socket.dev.
Acteurs et cibles
Acteurs rapportés
PolinRider
Cibles rapportées
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
Relations explicites de renseignement
- Acteurs associés : PolinRider
- Cibles associées : Technologies
Ces relations publiques sont liées au rapport. Elles peuvent décrire une activité plus large que l’événement résumé ci-dessus.
MITRE ATT&CK
Techniques directement associées au rapport
Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.
Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.
Entités et contexte du rapport
- Secteur : Technologies ; alias : Bitcoin, Crypto, Cryptocurrency, Currency Exchange, IT, Information Security, Software Development, Technology, Virtual Currency, Vulnerability Research, software ; confiance : 100/100
- Groupe d’activité : PolinRider ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Malware : PolinRider ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.
Relations entre les entités nommées
| Origine | Relation déclarée | Destination | Confiance / statut |
|---|---|---|---|
| PolinRider | utilise | PolinRider | 50/100 |
| PolinRider | cible | Technologies | 50/100 |
| PolinRider | cible | Technologies | 50/100 |
IOC et observables pour la recherche
9 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.
Statuts de validité calculés au 2026-10-19T12:24:04+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.
La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.
| Type | Valeur neutralisée | Qualification | Confiance | Usage / validité |
|---|---|---|---|---|
| ipv4 | 166[.]88[.]134[.]62 |
Indicateur | 50 | Révoqué — recherche historique |
| ipv4 | 166[.]88[.]73[.]46 |
Indicateur | 50 | Révoqué — recherche historique |
| ipv4 | 193[.]247[.]144[.]38 |
Indicateur | 50 | Révoqué — recherche historique |
| ipv4 | 23[.]27[.]13[.]135 |
Indicateur | 50 | Révoqué — recherche historique |
| sha256 | 139ea03dcddf4aa810d55740be3cf6c92ce7a9f3cbcbbb35440e25b769a87683 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 515a53291d25d229e1f9fa72e66407e1cfd7e77c91478400b24d5185af68531a |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 7d47c430e6e404dc2fa8b4837678d1cbdb4d0aeacec9b405655cab79d54a2ad9 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | b7ede935d4979146b55f12b9eec7c83b61962b478f5dc9b8db251e539ec2abd3 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | ccb187dc9de0cc7477c9817ae53365d273e121407c0305f863e2ab67c35d6395 |
Indicateur | 50 | Dans la période de validité déclarée |
Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)
Comment utiliser les exports
Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.
Couverture et provenance
Rapport publié le 2026-09-18T12:51:25.360Z ; 21 objets publics et 30 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.
Texte de la source publique lu : extrait de 9509 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.
- Titre source : PolinRider Spreads Through Compromised GitHub Accounts and Packagist
- Types de rapport : threat-report
- Labels : infostealer, polinrider, supply chain
- Confiance du rapport : 50/100
- Création déclarée par la source : 2026-09-18T12:51:25.360Z
- Modification déclarée par la source : 2026-09-26T17:24:13.759Z
- Import de l’objet de renseignement : 2026-09-26T17:24:11.855Z
- Mise à jour de l’objet de renseignement : 2026-09-26T17:24:13.759Z
Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.
Source
PolinRider Spreads Through Compromised GitHub Accounts and Packagist — socket.dev.