GitHub 面临影响项目的广泛恶意软件攻击，包括加密

主要开发者平台 GitHub 面临广泛的恶意软件攻击，并在一天内报告了 35,000 次“代码命中”，其中有数千个 Solana（太阳 ) 为基础的钱包耗尽了数百万美元。

GitHub 开发人员斯蒂芬·露西 (Stephen Lucy) 强调了这次广泛的攻击，他于周三早些时候首先报告了这一事件。开发人员在审查他在 Google 搜索中找到的项目时遇到了这个问题。

我正在发现似乎是大规模广泛的恶意软件攻击@github .

- 目前超过 35k 个存储库被感染
- 目前发现的项目包括：crypto、golang、python、js、bash、docker、k8s
- 添加到 npm 脚本、docker 镜像和安装文档pic.twitter.com/rq3CBDw3r9
- 斯蒂芬莱西（@stephenlacy）2022 年 8 月 3 日

到目前为止，已经发现来自 crypto、Golang、Python、js、Bash、Docker 和 Kubernetes 的各种项目都受到了此次攻击的影响。恶意软件攻击针对 docker 镜像、安装文档和 npm 脚本，这是为项目捆绑常用 shell 命令的便捷方式。

为了欺骗开发人员并访问关键数据，攻击者首先创建一个虚假的存储库（一个存储库包含项目的所有文件和每个文件的修订历史）并将合法项目的克隆推送到 GitHub。例如，以下两个快照显示了这个合法的加密矿工项目及其克隆。

原始加密货币挖矿项目来源：G机会

克隆加密货币挖矿项目来源：Github

许多这些克隆存储库被推送为“拉取请求”。拉取请求让开发人员可以告诉其他人他们已将更改推送到 GitHub 上存储库中的分支。

有关的：据报道，Nomad 忽略了导致 1.9 亿美元漏洞利用的安全漏洞

一旦开发人员成为恶意软件攻击的牺牲品，脚本、应用程序或笔记本电脑（电子应用程序）的整个环境变量 (ENV) 就会被发送到攻击者的服务器。 ENV 包括安全密钥、AWS 访问密钥、加密密钥等等。

开发人员已将此问题报告给 GitHub，并建议开发人员使用 GPG 签署他们对存储库所做的修订。 GPG 密钥通过提供一种验证所有修订来自可信来源的方法，为您的 GitHub 帐户和软件项目增加了一层额外的安全保护。