Notes de terrain sur la detection de menaces supply-chain.
Les malwares detectent Docker en 3 lignes. gVisor intercepte les syscalls au niveau kernel. Le malware pense qu'il tourne sur une vraie machine.
7 packages compromis detectes, verdict DORMANT SUSPECT au lieu de MALICIOUS. Le payload Python attendait 5 minutes. La sandbox n'attendait pas.
3 mois de monitoring, 0 malware confirme, 8176 labels contamines. Comment un nettoyage de donnees a fait passer la precision ML de 37% a 98%.
Un classifier binaire XGBoost en JavaScript pur pour filtrer les faux positifs de la zone grise T1, sans aucune dependance Python en production.
Comment tester un scanner de securite quand l'attaquant connait les regles.
9 heures de benchmark sur le dataset Datadog. 14 587 packages in-scope, 13 486 detectes.
433 packages npm compromis, du code cache dans des caracteres zero-width, et un C2 sur la blockchain.
Quand les malwares attendent 72h avant de voler les credentials, on accelere le temps.
Notre taux de faux positifs etait de 0%. En realite, il etait de 38%.