A Coinbase állt a legújabb GitHub-hackertámadás célkeresztjében
Nemrégiben egy GitHub Actions ellátási láncot érintő támadás középpontjában a Coinbase állt, amely során több száz titkos adat került veszélybe. A támadás a `reviewdog/action-setup@v1` GitHub Action megfertőzésével kezdődött. A hackerek módosították az akciót, hogy CI/CD-titkokat és hitelesítési tokeneket szivárogtasson a GitHub Actions naplókba.
A támadás részletei
Az első szakaszban a `reviewdog/action-setup@v1` GitHub Action kompromittálódott. Amikor a `tj-actions/eslint-changed-files` GitHub Action használta a reviewdog akciót, annak titkos adatai a munkafolyamat-naplókba kerültek.
Ez lehetővé tette a támadók számára egy személyes hozzáférési token ellopását, amelyet aztán a `tj-actions/changed-files` GitHub Action módosítására használtak, hogy az ismét CI/CD-titkokat szivárogtasson a naplókba.
Célzott támadás a Coinbase ellen
Az első rosszindulatú commit kifejezetten a Coinbase projektjeit és egy “mmvojwip” nevű felhasználói fiókot célzott, ami a támadókhoz tartozott. A `changed-files` akciót több mint 20 000 projekt használta, köztük a Coinbase `coinbase/agentkit` keretrendszere, amely MI-ügynökök és blokkláncok közötti interakciót tesz lehetővé.
A Unit 42 szerint a Coinbase agentkit munkafolyamata végrehajtotta a `changed-files` akciókat, lehetővé téve a támadóknak olyan tokenek ellopását, amelyek írási hozzáférést biztosítottak a tárolóhoz. A támadó 2025. március 14-én, 15:10 UTC-kor szerezte meg a GitHub tokent, kevesebb mint két órával a nagyobb támadás megkezdése előtt.
A Coinbase később közölte a Unit 42-vel, hogy a támadás sikertelen volt, és nem érintette az eszközeiket.
🕵 A közkedvelt Notepad++ szövegszerkesztő frissítési rendszerét 2025-ben állami támogatású hackerek támadták meg: hónapokon át képesek voltak rosszindulatú szoftvert kínálni a felhasználóknak, miután sikeresen kompromittálták a Notepad++ hivatalos szerverét...
Tipikus eset, amikor a technológia fejlődése oda vezet, hogy már az állásinterjúkon is deepfake csalók próbálnak meg átverni valódi cégeket – akár olyanokat is, amelyek maguk is MI-biztonsággal foglalkoznak...
Indonézia ismét elérhetővé tette a Grok nevű MI-chatbotot, miután ideiglenesen betiltotta, mert több millió kérésre válaszolva gyermekeket is érintő, jogsértő tartalmakat generált...
Az elmúlt években a közösségi média drasztikusan átalakult. Egyre nagyobb mennyiségben terjednek a világhálón azok a képek és videók, amelyek látványosan MI segítségével születnek – és minőségükben gyakran hagynak kívánnivalót maguk után...
📖 Eddigi kedvenc e-olvasóm nagyon egyszerű okból az volt: kicsi volt. Nem volt háttérvilágítása, nem voltak oldalváltó gombjai, mégis minden nap magammal vittem...
Az Apple új adatvédelmi funkcióval védi a felhasználókat, amely lehetővé teszi, hogy iPhone- és iPad-készülékeken korlátozzuk helyadataink pontosságát a mobilhálózatok felé...
India 2026–2027-es költségvetése változatlanul hagyja a kriptovalutákra kivetett 30 százalékos nyereségadót, és továbbra is 1 százalékos forrásadót (TDS) von le minden tranzakciónként...
Az időskori demencia titokzatos kockázati tényezője sokáig rejtve maradt, miközben az orvosok leginkább az agyvérzések és a szív- és érrendszeri problémák hatását kutatták...
Ez a jelenség jól illusztrálható azzal, hogy a háziállatok rengeteg örömet hoznak a mindennapokba, mégis hajlamosak próbára tenni a türelmünket, főleg, ha a lakás levegőjének tisztaságáról vagy az allergiás tünetek súlyosbodásáról van szó...
⚡ Egy lényeges szempont, hogy a hálózati eszközök világában a sebesség növelése már nem számít luxusnak, hiszen a mindennapi használatban egyre inkább igény mutatkozik a gyorsabb internet- és belső hálózati kapcsolat iránt...
🚗 A Google anyavállalatához, az Alphabethez tartozó Waymo, az egyik vezető amerikai önvezetőautó-fejlesztő cég, közel 6 000 milliárd forintos (16 milliárd USD) tőkebevonást tervez, amellyel a vállalat piaci értéke már a 39 000 milliárd forintot (kb...
💫 Két rendkívül ritka, milliárd évekkel ezelőtt felrobbanó szupernóva kínál izgalmas lehetőséget arra, hogy végre választ kapjunk a kozmológia egyik legnagyobb rejtélyére: milyen gyorsan tágul valójában az Univerzum?..
💰 Automatizált adattolvajok továbbra is könnyen hozzáférhető MongoDB-adatbázisokat zsarolnak, alacsony, általában 160–190 ezer forint közötti váltságdíjat követelve a tulajdonosoktól az adatok visszaállításáért cserébe...
