攻击者利用 GitHub Action 在 GitHub 服务器上挖掘加密货币-低调大师

攻击者利用 GitHub Action 在 GitHub 服务器上挖掘加密货币

2021-04-05 499

GitHub Actions 被发现遭到攻击者利用，以在 GitHub 的服务器进行自动攻击挖掘加密货币。

GitHub Actions 是一个CI/CD解决方案，可以实现所有软件工作流程的自动化，并设置定期任务。而本次攻击将恶意的 GitHub Actions 代码添加到从合法仓库分叉出来的仓库中，并进一步创建一个 Pull Request，让原仓库维护者将代码合并回来，以改变原始代码。并且恶意代码会从 GitLab 中加载一个挖矿程序 npm.exe，并使用攻击者的钱包地址运行它。

根据荷兰安全工程师安全工程师 Justin Perdok 的说法，攻击者已经瞄准了使用 GitHub Actions 来挖掘加密货币的 GitHub 仓库。令人惊讶的是，该攻击并不需要原项目的维护者批准恶意的 Pull Request，恶意攻击者仅仅提交 Pull Request 就足以触发攻击。这对于那些设置了自动工作流，通过 Action 来验证传入 Pull Request 的 GitHub 项目来说尤其如此。一旦为原始项目创建了Pull Request，GitHub 的系统就会执行攻击者的代码。

目前，GitHub 表示他们已知道该问题，正在积极调查。

本文转自OSCHINA

本文标题：攻击者利用 GitHub Action 在 GitHub 服务器上挖掘加密货币

本文地址：https://www.oschina.net/news/135871/github-action-npm

【责任编辑：未丽燕 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202104/655981.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

动用核武器？英国首次提出网络空间核威慑理论

近日，英国《2021年国防评论》关于在网络空间适用核威慑理论(动用核武反击网络攻击)的声明引发了网络安全行业的广泛争议。《评论》指出，英国不会对1968年《不扩散核武器条约》(NPT)的任何无核缔约国使用核武器。但随后又补充道：“如果大规模毁灭性武器的未来威胁(例如化学和生物能力或可能产生类似影响的新兴技术)构成必要条件，我们保留审查此保证的权利。” 《评论》还明确指出，“网络”被认定属于(上述核反击条件中的)“新兴技术”。这是否意味着英国将考虑对严重的网络攻击做出核攻击反应? 早在2018年，英国国防部国防情报局局长马歇尔·菲尔·科林斯(Air Marshall Phil Collins)曾表示，英国的网络战立场是：“应该首先了解(情况)，再做出决定，然后在必要时首先在物理和虚拟环境中采取行动，以确保决策优势和行动优势，以寻求迅速而可控地利用漏洞并主动遏制威胁。” 大约在同一时间，英国总检察长杰里米·赖特(Jeremy Wright)表示：“英国认为，很明显，可造成与武装袭击同等规模的死亡或毁灭性损失的网络行动将触发《联合国宪章》第五十一条赋予的可采取自卫行动的固有权利。” 两位官...

2021-04-05

675

近日，美国社交媒体脸书(Facebook)超5亿用户的个人数据遭到泄露，包括电话号码、电子邮件等信息。俄媒称，脸书创始人扎克伯格的电话号码也遭泄露。据新闻网站商业内幕(Business Insider)报道，一个低级别的黑客论坛3日曝光了5.33亿脸书用户的个人数据，这些用户涉及 106个国家，泄露的信息包括脸书ID、用户全名、位置、生日、个人简介以及电子邮件地址。令大众吃惊的是，公布的这些个人隐私信息数据涉及来自 106 个国家的 5.33 亿 Facebook 用户，其中包括 3200 万美国用户，1100 万英国用户，600 万印度用户。俄罗斯卫星通信社4日报道，遭泄露的5.33亿脸书用户数据中包含一些名人的信息，扎克伯格的电话号码也在其中。有消息称，遭泄露的电话号码与扎克伯格的真实号码是一致的。网络犯罪情报公司Hudson Rock的首席技术官加尔首先发现了脸书用户数据泄露，通过比对他所认识的人的信息，证实至少有一部分内容是真实的。事发后，脸书公司在4月3日的一份声明中称，上述数据来自2019年发生的信息泄露事件，当年8月已经进行修复。脸书已不止一次发生用户信息泄露事...

2021-04-05

859

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。