A Coinbase állt a legújabb GitHub-hackertámadás célkeresztjében
Nemrégiben egy GitHub Actions ellátási láncot érintő támadás középpontjában a Coinbase állt, amely során több száz titkos adat került veszélybe. A támadás a `reviewdog/action-setup@v1` GitHub Action megfertőzésével kezdődött. A hackerek módosították az akciót, hogy CI/CD-titkokat és hitelesítési tokeneket szivárogtasson a GitHub Actions naplókba.
A támadás részletei
Az első szakaszban a `reviewdog/action-setup@v1` GitHub Action kompromittálódott. Amikor a `tj-actions/eslint-changed-files` GitHub Action használta a reviewdog akciót, annak titkos adatai a munkafolyamat-naplókba kerültek.
Ez lehetővé tette a támadók számára egy személyes hozzáférési token ellopását, amelyet aztán a `tj-actions/changed-files` GitHub Action módosítására használtak, hogy az ismét CI/CD-titkokat szivárogtasson a naplókba.
Célzott támadás a Coinbase ellen
Az első rosszindulatú commit kifejezetten a Coinbase projektjeit és egy “mmvojwip” nevű felhasználói fiókot célzott, ami a támadókhoz tartozott. A `changed-files` akciót több mint 20 000 projekt használta, köztük a Coinbase `coinbase/agentkit` keretrendszere, amely MI-ügynökök és blokkláncok közötti interakciót tesz lehetővé.
A Unit 42 szerint a Coinbase agentkit munkafolyamata végrehajtotta a `changed-files` akciókat, lehetővé téve a támadóknak olyan tokenek ellopását, amelyek írási hozzáférést biztosítottak a tárolóhoz. A támadó 2025. március 14-én, 15:10 UTC-kor szerezte meg a GitHub tokent, kevesebb mint két órával a nagyobb támadás megkezdése előtt.
A Coinbase később közölte a Unit 42-vel, hogy a támadás sikertelen volt, és nem érintette az eszközeiket.
🚗 A Ford új lendületet ad a céges járműparkok irányításának: a Ford Pro AI névre hallgató, mesterséges intelligenciát használó szolgáltatás mostantól a Ford Pro telematikai szoftverébe épül be...
💉 Jellemző példa erre, hogy a világ egyik legveszélyesebb gyermekkori bélfertőzése ellen most először született hatékony védelem: a skandináv fejlesztésű ETVAX vakcina áttörő eredményeket mutat a halálos bélbaktérium, az enterotoxigén E...
📷 Az utóbbi években a Google minden termékébe minél több mesterséges intelligenciát (MI) igyekezett beépíteni, azonban a felhasználók nem mindig örülnek ennek...
🚀 Oké, szóval megérkezett a Chrome-ba épített Gemini chatbot Kanadába, Indiába és Új-Zélandra, ráadásul már több mint ötven nyelven lehet vele csevegni – köztük franciául, gujaratiul, hindiül, spanyolul és még sok más nyelven –, csakhogy a magyaroknak még várniuk kell egy kicsit...
💻 Dublin közvetlen közelében, Írország szívében indul el Európa első olyan adatközpontja, amely teljesen független, úgynevezett szigetüzemű mikrohálóra támaszkodik az energiaellátásban...
A bomló holttesteken nyüzsgő lárvák látványa nem túl gyomorkímélő, de a helyszínelők számára ezek az apró élőlények kulcsfontosságú bizonyítékok lehetnek...
Már tavaly novemberben is betelt a pohár: az Amazon nekiment a Perplexity nevű MI‑startupnak, és megtiltotta, hogy a Comet nevű MI‑böngészője engedély nélkül a felhasználók helyett vásároljon a webáruházukban...
🛠 A Microsoft kiadta a Windows 10 KB5078885 kumulatív biztonsági frissítést, amely számos fontos sebezhetőséget orvosol, köztük két aktívan kihasznált nulladik napi sérülékenységet, valamint egy olyan problémát, amely megakadályozta egyes eszközök leállítását vagy hibernálását...
Egyedülálló égi látványosságnak lehettek szemtanúi Németország és több szomszédos ország lakói vasárnap este, amikor egy meteor hatalmas tűzgömbbé vált az égen, majd látványos robbanással végződött...
Fizetős iOS appok és játékok, amik ingyenesek a mai napon. Mutazione (iPhone/iPad)A Mutazione egy kalandjáték, amelyben egy kisváros különös lakóinak mindennapi élete és magánéleti drámái összefonódnak természetfeletti eseményekkel...
Jellemző példa erre, hogy ma már sokan tartanak attól, mit osztanak meg egy felhőalapú MI-vel, vagy attól is tartanak, hogy érzékeny genetikai adataik idegen kezekbe kerülnek...
Érdemes megérteni, hogy a Lenovo legújabb SFF (small form factor) munkaállomása, a ThinkStation PGX, nemcsak mérnöki bravúr, hanem komoly stratégiai döntés is...
📁 Na, most aztán forr a levegő az USA-ban: egy DOGE-mérnök állítólag elcsente a Társadalombiztosítási Hivatal (Social Security Administration, SSA) adatbázisát egy apró pendrive-on – és benne több mint 500 millió élő és elhunyt amerikai minden féltve őrzött adata...
💰 Amikor az online előrejelző piacok berobbantak a köztudatba, senki sem gondolta volna, hogy két ilyen karakteres rivális vág bele a jövő fogadásaiért folyó harcba...
Rövid utazás a múltba: ezen a napon történt Litvánia függetlenségének kikiáltása, a madridi vonatrobbantások tragédiája, és az utolsó brit királyi vétó...
Fontos kérdés, hogy mi maradna, ha eltávolítanánk az univerzum legüresebb régióiból minden anyagot: a hagyományos atomokat, a neutrínókat, a sötét anyagot, a kozmikus sugárzást és minden más sugárzási formát...
Az Adobe új MI‑asszisztenst jelentett be, amelynek béta verziója mostantól elérhető a Photoshopban, és weben, valamint mobilalkalmazásokban is használható...
👀 Egy lényeges szempont, hogy az amerikai Élelmiszer- és Gyógyszerügyi Hatóság (FDA) most először hagyta jóvá a szintetikus B9-vitamin, a leucovorin egy új alkalmazását...
