HackerNews 编译，转载请注明出处：

趋势科技（Trend Micro）报告称，一款新型信息窃取程序正通过由 100 多个 GitHub 代码仓库组成的网络进行分发。

...

HackerNews 编译，转载请注明出处：

GitHub Codespaces 存在一处漏洞，攻击者可通过在 GitHub issue 注入恶意指令，操控 Copilot 并夺取仓库控制权。

...

HackerNews 编译，转载请注明出处：

一种新型复杂网络威胁已出现，攻击者通过被攻陷的镜像网站与 GitHub 仓库，针对多操作系统用户发动攻击。

...

HackerNews 编译，转载请注明出处：

亚马逊网络服务CodeBuild中的一个关键配置错误，可能导致攻击者完全接管该云服务提供商自身的GitHub仓库，包括其AWS JavaScript SDK，从而使每个AWS环境面临风险。

...

HackerNews 编译，转载请注明出处：

一、变种发现与溯源

二、攻击机制与危害

1. 安装时执行，扫描开发机与 CI/CD 环境密钥；
2. 将被盗凭证上传至公开 GitHub 仓库；
3. 利用凭证进一步入侵更多 npm 包。

三、3.0 变种新特征与漏洞

1. 结构与隐匿升级
   • 重构文件结构，重命名安装器与载荷组件；
   • 改用新 GitHub 仓库描述防字符串检测；
   • 新增 5 类泄露文件名，聚焦环境变量、云凭证等；
   • 移除 “失效开关”，优化错误处理，适配 Windows 系统，调整数据收集顺序。

   
   


2. 致命漏洞

   代码存在文件名错误，本应读取c0nt3nts.json，却错误保存为c9nt3nts.json，导致功能异常。

四、行业警示与防护建议

• 排查受影响包，轮换环境密钥；
• 监控 GitHub 新描述仓库，限制 npm 安装生命周期脚本；
• 启用发布流程多因素认证与范围令牌。

...

HackerNews 编译，转载请注明出处：

网络安全研究人员正提请关注一场新型攻击活动：该活动传播的 Astaroth银行木马，将 GitHub 用作其运营的核心基础设施，即便自身基础设施遭下架，仍能保持 “抗打击能力”。

“攻击者不再单纯依赖易被下架的传统命令与控制（C2）服务器，而是利用 GitHub 仓库托管恶意软件配置文件，” 迈克菲实验室（McAfee Labs）研究人员哈希尔・帕特尔与普拉布德・查克拉沃蒂在一份报告中表示，“当执法部门或安全研究人员关停其 C2 基础设施时，Astaroth只需从 GitHub 获取新的配置文件，就能继续运行。”

据这家网络安全公司透露，当前攻击活动主要集中在巴西；不过已知该银行木马还会针对拉丁美洲多个国家，包括墨西哥、乌拉圭、阿根廷、巴拉圭、智利、玻利维亚、秘鲁、厄瓜多尔、哥伦比亚、委内瑞拉和巴拿马。

Astaroth针对巴西发起攻击并非首次。2024 年 7 月和 10 月，谷歌与趋势科技曾先后发出警告，提及两个名为 “PINEAPPLE”（菠萝）和 “Water Makara”（水摩伽罗）的威胁团伙，它们通过钓鱼邮件传播该恶意软件。

最新的攻击链流程与此类似：同样以 “DocuSign（电子签名平台）” 为主题的钓鱼邮件为起点，邮件中包含一个链接，点击后会下载一个压缩的 Windows 快捷方式（.lnk 文件）；打开该文件后，阿斯塔罗斯木马便会安装到受感染的主机中。

该.lnk 文件内嵌经过混淆处理的 JavaScript 代码，其作用是从外部服务器获取额外的 JavaScript 脚本。而新获取的 JavaScript 代码则会从多个预先硬编码的服务器中随机选择一个，下载多个文件。

这其中包括一个 AutoIt 脚本，该脚本由 JavaScript 有效载荷执行；随后脚本会加载并运行一段外壳代码，这段外壳代码再加载一个基于 Delphi 语言编写的动态链接库，最终解密 Astaroth恶意软件，并将其注入到新创建的 “RegSvc.exe” 进程中。

Astaroth是一款基于 Delphi 语言开发的恶意软件，其设计目的是监控受害者访问的银行或加密货币网站，并通过键盘记录窃取用户凭据。捕获到的信息会通过 Ngrok 反向代理传输给攻击者。

该木马的具体运作方式为：每秒检查一次当前活跃的浏览器程序窗口，判断是否打开了与银行相关的网站。若满足上述条件，恶意软件便会 “挂钩”（hook）键盘事件，记录用户的按键操作。以下是部分被针对的网站：

...

HackerNews 编译，转载请注明出处：

Legit Security 近日披露了 GitHub Copilot Chat 人工智能助手的一个漏洞，该漏洞导致敏感数据泄露并允许攻击者完全控制 Copilot 的回复。

通过结合内容安全策略（CSP）绕过与远程提示注入，Legit Security 的研究员 Omer Mayraz 成功从私有仓库中泄露了 AWS 密钥和零日漏洞信息，并影响了 Copilot 向其他用户提供的回复。

Copilot Chat 旨在提供代码解释和建议，并允许用户通过 HTML 注释在渲染的 Markdown 中隐藏内容。隐藏评论仍会触发向仓库所有者发送的拉取请求通知，但不会显示评论内容。然而，相关提示也会被注入到其他用户的上下文中。

Mayraz 解释说，隐藏评论功能允许用户影响 Copilot，使其向其他用户显示代码建议，包括恶意软件包。Mayraz 还发现，他可以制作包含访问用户私有仓库指令的提示，对其内容进行编码，并将其附加到 URL 中。“当用户点击该 URL 时，数据就会被回传给我们，”他指出。

不过，GitHub 严格的内容安全策略阻止从非平台拥有的域名获取图片及其他内容，从而防止通过向受害者聊天中注入 HTML <img> 标签来泄露数据。当 README 或 Markdown 文件中包含外部图片时，GitHub 会解析这些图片以识别 URL，并使用开源项目 Camo 为每个文件生成匿名代理 URL。外部 URL 会被重写为 Camo 代理 URL，当浏览器请求图片时，Camo 代理会检查 URL 签名，并且仅当 URL 由 GitHub 签名时才从原始位置获取外部图片。

这种做法通过使用受控代理获取图片来确保安全，防止利用任意 URL 泄露数据，并且在 README 中显示图片时不会暴露图片 URL。

“我们注入到受害者聊天中的每个 <img> 标签必须包含预先生成的有效 Camo URL 签名，否则 GitHub 的反向代理将不会获取内容，”Mayraz 指出。

为了绕过这一保护机制，该研究员创建了一个包含字母表中所有字母和符号的字典，为每个字符预生成对应的 Camo URL，并将该字典嵌入到注入的提示中。

他创建了一个对每个请求返回 1x1 透明像素的服务器，构建了可用于从仓库泄露敏感内容的字母和符号的 Camo URL 字典，随后制作了触发漏洞的提示。

Mayraz 发布了概念验证视频，演示了如何利用该攻击从私有仓库中泄露零日漏洞和 AWS 密钥。

8月14日，GitHub 通知该研究员，已通过禁止使用 Camo 泄露用户敏感信息的方式修复了该问题。

...

HackerNews 编译，转载请注明出处：

Salesloft披露，与其Drift应用相关的数据泄露事件始于其GitHub账户被入侵。

...

HackerNews 编译，转载请注明出处：

对Nx “s1ngularity” NPM供应链攻击的调查揭示了一场大规模的灾难，数千个账户令牌和存储库机密被泄露。

...

HackerNews 编译，转载请注明出处：

nx构建系统的维护者已向用户发出供应链攻击警报，此次攻击导致恶意版本的流行npm软件包及具有数据收集功能的辅助插件被发布。

...