Megalodon 攻击事件：超过 5700 个恶意提交通过 CI 工作流窃取开发者密钥-低调大师

Megalodon 攻击事件：超过 5700 个恶意提交通过 CI 工作流窃取开发者密钥

2026-05-22 22

网络安全公司SafeDep近日披露了一起大规模供应链攻击事件——"Megalodon"。

、

据介绍，5月18日，超过5700个恶意提交被推送到GitHub仓库，攻击者用base64编码的密钥窃取payload替换了GitHub Actions工作流。

这次攻击的目标包括Tiledesk（9个仓库）、Black-Iron-Project（8个仓库）以及数百个其他代码仓库。攻击者替换了这些仓库中的CI/CD工作流，植入了一个名为"megalodon"的恶意 payload，其命令控制（C2）服务器地址为216.126.225.129:8443。

值得注意的是，受影响的仓库中，包含了一个带有后门的npm包：@tiledesk/tiledesk-server版本2.18.6至2.18.12。这意味着不仅GitHub仓库受到污染，npm生态也受到了波及。

根据SafeDep的分析，攻击者利用了GitHub Actions工作流的自动化特性——当代码合并到主分支时自动执行这一特点，将恶意代码注入到CI/CD流程中。这种攻击方式的危险之处在于：工作流通常拥有较高的权限，可以访问secret、环境变量等敏感信息，从而让攻击者能够窃取开发者密钥、API凭证等重要数据。

Megalodon攻击展现了供应链攻击的新趋势：攻击者不再需要直接攻入开发者的机器或账户，而是通过污染CI/CD管道来达到目的。由于工作流执行时通常具有较高的信任级别和权限，这种攻击很难被传统的安全检测手段发现。SafeDep建议开发者在使用第三方Actions和工作流时，应仔细审查其来源和内容，并监控CI/CD管道的异常行为。

来源：SafeDep (https://safedep.io/megalodon-mass-github-repo-backdooring-ci-workflows/)

微信关注我们

原文链接：https://www.oschina.net/news/444408

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

互联网底层基础设施构建者：一位高中女教师的代码改变了世界

1960年代，一位利用暑假时间兼职编程的数学教师，用代码证明了分布式网络的可行性，为现代互联网奠定了理论基础。然而，她的名字却长期被历史遗忘。 2026年5月，《科学美国人》杂志发表了一篇深度报道，揭开了互联网发展史上一位被忽视的关键人物——Sharla Perrine Boehm。这位曾在圣莫尼卡高中教数学的女教师，在1960年代初期于RAND公司兼职期间，编写了一个具有开创性的网络模拟程序，该程序首次证明了分布式、去中心化通信网络的可行性，直接为后来ARPANET乃至现代互联网的诞生提供了理论支撑。冷战背景下的通信危机故事要从1961年11月24日那个惊心动魄的...

2026-05-22

22

NVIDIA 近日以 Apache 2.0 协议开源了完整的 NVCF（NVIDIA Cloud Functions）平台。注意，这不是某个薄 SDK，也不是轻量级客户端库，而是真正的控制平面、调用平面、计算平面、CLI 工具、Helm charts 以及数据库迁移——所有代码都在 GitHub 单体仓库 github.com/nvidia/nvcf 中。NVCF 正是 build.nvidia.com 和 NVIDIA 托管推理工作流背后的基础设施。现在，任何人都可以自行运行完整平台，并阅读每一行代码。 NVCF 是什么 NVCF 的托管服务允许用户注册一个 Dock...

2026-05-22

21

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。