یک مهاجم با ۴٬۸۳۷ حساب GitHub دزدیده‌شده، برنامه‌ای برای سرقت اسرار CI در حداقل ۱٬۸۰۶ مخزن عمومی قرار داد. این ابزار اسرار ابری را استخراج می‌کند، تغییرات را در چند دقیقه خنثی می‌سازد و لاگ‌ها را پاک می‌کند. حمله با pull-requestهایی با عنوان «docs: dependency audit notes» از شاخه wfx-docs آغاز شد؛ در ۷٬۳۰۹ مخزن به workflow موجود افزوده شد و در ۷۷۱ مخزن به‌صورت npm postinstall hook گنجانده شد. پژوهشگران SafeDep توصیه می‌کنند توکن‌ها، کلیدهای SSH، دسترسی‌های OAuth و 2FA را بازنگری و تمام اسرار مخزن را چرخانده (rotate) کنید.

برای اطلاعات بیشتر، متن کامل خبر را در منبع اصلی بخوانید: The Hacker News ↗