Recommandations défensives
Le message de JFrog recommandait diverses tactiques défensives pour détecter et atténuer ces attaques, notamment que les RSSI « devraient considérer l’installation d’une version complète du ver comme une compromission de l’hôte ». Il a également suggéré que les utilisateurs révoquent et alternent tous les identifiants GitHub, GitLab, npm, PyPI, RubyGems, cloud, SSH, Vault, Kubernetes et les fournisseurs d’IA, ainsi qu’auditent « tous les référentiels accessibles aux identités concernées pour .github/init.js, .claude/settings.json, .gemini/settings.json, .cursor/mcp.json, .cursor/rules/setup.mdc, .vscode/tasks.jsoninattendu composer.json ou des hooks d’exécution Makefile, et skip-checks:true s’engage. »
JFrog a également suggéré que les entreprises énumèrent directement les arborescences des référentiels et que le service informatique ne devrait pas s’appuyer sur la recherche de code GitHub ou sur l’API de contenu, en raison du problème de taille du wrapper.
« Supprimer les fichiers non autorisés chore/ci-* et deps/upd-* branches, désactivez les flux de travail malveillants et supprimez les faux CodeQL artefacts nommés scan-output. Bloc hxxp(:)//43(.)228(.)157(.)68:80, et l’infrastructure malveillante associée au niveau des contrôles du réseau » et « rechercher les journaux et les coureurs des actions GitHub pour /tmp/.svcipscan, CVE-2026-41940, spécifique à l’architecture /api/dl/ requêtes et analyses inhabituellement larges provenant de coureurs hébergés ou auto-hébergés », a suggéré JFrog. Et bien sûr, recherchez .napi.cache.
