搜索
“巨齿鲨”供应链攻击波及逾5500个GitHub代码仓库
9 小时前
安全研究人员发出警告，一场名为“巨齿鲨（Megalodon）”的大规模供应链攻击，利用自动化提交手段，向5500多个GitHub代码库植入了恶意软件。该攻击通过滥用GitHub Actions工作流，在持续集成环境中嵌入窃密程序，专门窃取凭证、CI机密、密钥与令牌等敏感数据。攻击者采用随机八字符用户名账户，伪装成CI自动化工具，在6小时内推送了5718次恶意提交。恶意程序通过base64编码的bash脚本执行，利用多阶段窃取策略，覆盖了CI环境变量、云平台凭证、基础设施密钥、应用层秘密及CI/CD专属信息。此次攻击不仅影响了GitHub仓库，还波及了npm生态，导致Tiledesk等项目的软件包受到污染。
