攻击者利用 GitHub Action 在 GitHub 服务器上挖掘加密货币-低调大师

攻击者利用 GitHub Action 在 GitHub 服务器上挖掘加密货币

2021-04-05 486

GitHub Actions 被发现遭到攻击者利用，以在 GitHub 的服务器进行自动攻击挖掘加密货币。

GitHub Actions 是一个CI/CD解决方案，可以实现所有软件工作流程的自动化，并设置定期任务。而本次攻击将恶意的 GitHub Actions 代码添加到从合法仓库分叉出来的仓库中，并进一步创建一个 Pull Request，让原仓库维护者将代码合并回来，以改变原始代码。并且恶意代码会从 GitLab 中加载一个挖矿程序 npm.exe，并使用攻击者的钱包地址运行它。

根据荷兰安全工程师安全工程师 Justin Perdok 的说法，攻击者已经瞄准了使用 GitHub Actions 来挖掘加密货币的 GitHub 仓库。令人惊讶的是，该攻击并不需要原项目的维护者批准恶意的 Pull Request，恶意攻击者仅仅提交 Pull Request 就足以触发攻击。这对于那些设置了自动工作流，通过 Action 来验证传入 Pull Request 的 GitHub 项目来说尤其如此。一旦为原始项目创建了Pull Request，GitHub 的系统就会执行攻击者的代码。

目前，GitHub 表示他们已知道该问题，正在积极调查。

本文转自OSCHINA

本文标题：攻击者利用 GitHub Action 在 GitHub 服务器上挖掘加密货币

本文地址：https://www.oschina.net/news/135871/github-action-npm

【责任编辑：未丽燕 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202104/655981.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

动用核武器？英国首次提出网络空间核威慑理论

近日，英国《2021年国防评论》关于在网络空间适用核威慑理论(动用核武反击网络攻击)的声明引发了网络安全行业的广泛争议。《评论》指出，英国不会对1968年《不扩散核武器条约》(NPT)的任何无核缔约国使用核武器。但随后又补充道：“如果大规模毁灭性武器的未来威胁(例如化学和生物能力或可能产生类似影响的新兴技术)构成必要条件，我们保留审查此保证的权利。” 《评论》还明确指出，“网络”被认定属于(上述核反击条件中的)“新兴技术”。这是否意味着英国将考虑对严重的网络攻击做出核攻击反应? 早在2018年，英国国防部国防情报局局长马歇尔·菲尔·科林斯(Air Marshall Phil Collins)曾表示，英国的网络战立场是：“应该首先了解(情况)，再做出决定，然后在必要时首先在物理和虚拟环境中采取行动，以确保决策优势和行动优势，以寻求迅速而可控地利用漏洞并主动遏制威胁。” 大约在同一时间，英国总检察长杰里米·赖特(Jeremy Wright)表示：“英国认为，很明显，可造成与武装袭击同等规模的死亡或毁灭性损失的网络行动将触发《联合国宪章》第五十一条赋予的可采取自卫行动的固有权利。” 两位官...

2021-04-05

656

近日，美国社交媒体脸书(Facebook)超5亿用户的个人数据遭到泄露，包括电话号码、电子邮件等信息。俄媒称，脸书创始人扎克伯格的电话号码也遭泄露。据新闻网站商业内幕(Business Insider)报道，一个低级别的黑客论坛3日曝光了5.33亿脸书用户的个人数据，这些用户涉及 106个国家，泄露的信息包括脸书ID、用户全名、位置、生日、个人简介以及电子邮件地址。令大众吃惊的是，公布的这些个人隐私信息数据涉及来自 106 个国家的 5.33 亿 Facebook 用户，其中包括 3200 万美国用户，1100 万英国用户，600 万印度用户。俄罗斯卫星通信社4日报道，遭泄露的5.33亿脸书用户数据中包含一些名人的信息，扎克伯格的电话号码也在其中。有消息称，遭泄露的电话号码与扎克伯格的真实号码是一致的。网络犯罪情报公司Hudson Rock的首席技术官加尔首先发现了脸书用户数据泄露，通过比对他所认识的人的信息，证实至少有一部分内容是真实的。事发后，脸书公司在4月3日的一份声明中称，上述数据来自2019年发生的信息泄露事件，当年8月已经进行修复。脸书已不止一次发生用户信息泄露事...

2021-04-05

845

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。