11 ноября в реестре Packagist вышла версия 3.14.3 пакета digitalelvis/neuronai-studio, которую CodeScoring относит к вредоносным. Пакет нужен для визуальной сборки ИИ-агентов на Laravel. Команда npm install в каталоге этой версии запускает скрипт для кражи токенов и ключей. Тот же скрипт вредоносной кампании,…
Во время кампании под названием wfx‑loot хакеры атаковали более 61 тыс. репозиториев GitHub для кражи секретов GitHub Actions и учётных данных облачных сервисов при помощи вредоносных рабочих процессов. Хотя вредоносный код сработал не во всех репозиториях, исследователи подтвердили кражу секретов более чем у 1,8 тыс. целей. Читать далее
Это история о том, как я нашел 10.000 репозиториев в GitHub, в которых находится ссылка на скачивание zip архива. В этом архиве — троян. Все эти репозитории от разных контрибьюторов, с разным названием и не являются форками других репозиториев. Даже если мы найдем один такой репозиторий, мы не сможем по нему найти другие репозитории. Но у всех них есть одинаковый паттерн, который и позволил написать скрипт для поиска таких репозиториев. Читать далее
Кто угодно может получать доступ к данным из удалённых форков, удалённых репозиториев и даже приватных репозиториев GitHub. И эти данные доступны всегда. Это известно разработчикам GitHub, и они намеренно спроектировали систему таким образом. Это настолько огромный вектор атак для…