A Coinbase állt a legújabb GitHub-hackertámadás célkeresztjében
Nemrégiben egy GitHub Actions ellátási láncot érintő támadás középpontjában a Coinbase állt, amely során több száz titkos adat került veszélybe. A támadás a `reviewdog/action-setup@v1` GitHub Action megfertőzésével kezdődött. A hackerek módosították az akciót, hogy CI/CD-titkokat és hitelesítési tokeneket szivárogtasson a GitHub Actions naplókba.
A támadás részletei
Az első szakaszban a `reviewdog/action-setup@v1` GitHub Action kompromittálódott. Amikor a `tj-actions/eslint-changed-files` GitHub Action használta a reviewdog akciót, annak titkos adatai a munkafolyamat-naplókba kerültek.
Ez lehetővé tette a támadók számára egy személyes hozzáférési token ellopását, amelyet aztán a `tj-actions/changed-files` GitHub Action módosítására használtak, hogy az ismét CI/CD-titkokat szivárogtasson a naplókba.
Célzott támadás a Coinbase ellen
Az első rosszindulatú commit kifejezetten a Coinbase projektjeit és egy “mmvojwip” nevű felhasználói fiókot célzott, ami a támadókhoz tartozott. A `changed-files` akciót több mint 20 000 projekt használta, köztük a Coinbase `coinbase/agentkit` keretrendszere, amely MI-ügynökök és blokkláncok közötti interakciót tesz lehetővé.
A Unit 42 szerint a Coinbase agentkit munkafolyamata végrehajtotta a `changed-files` akciókat, lehetővé téve a támadóknak olyan tokenek ellopását, amelyek írási hozzáférést biztosítottak a tárolóhoz. A támadó 2025. március 14-én, 15:10 UTC-kor szerezte meg a GitHub tokent, kevesebb mint két órával a nagyobb támadás megkezdése előtt.
A Coinbase később közölte a Unit 42-vel, hogy a támadás sikertelen volt, és nem érintette az eszközeiket.
🚗 A Mazda Motor Corporation tavaly decemberben súlyos biztonsági incidenst észlelt, amely során munkavállalói és üzleti partnerei adatai kerültek veszélybe...
Az LG Display új korszakot nyit a laptopok világában, hiszen elindította az Oxide 1Hz nevű LCD-kijelzők sorozatgyártását, amely képes automatikusan igazodni a tartalomhoz, és 1 Hz-től akár 120 Hz-ig változtatni a képfrissítési frekvenciát...
Az MI-alapú ügynökök ma már nemcsak egyszerű digitális eszközök: saját döntéseket hoznak, komplex feladatokat oldanak meg, és képesek vállalati rendszereken keresztül valódi műveleteket végrehajtani...
Fizetős iOS appok és játékok, amik ingyenesek a mai napon. Super Investor (iPhone/iPad)Az SEC dokumentumok nyilvános információkat tartalmaznak egy vállalat pénzügyi helyzetéről és működéséről...
👽 A ragadozó növények között a Vénusz légycsapó (Venus flytrap) pont olyan, mintha burokban nevelték volna, de most kiderült, mennyire bírja a keményebb menetet is: beesett egy részecskegyorsítóba!..
🕵 A Crunchyroll, a népszerű anime-streaming platform komoly adatbiztonsági incidenssel néz szembe, miután hackerek azt állítják, hogy csaknem 6,8 millió felhasználó személyes adataihoz jutottak hozzá...
Noha a bűnüldöző szervek március elején sikeresen megzavarták a Tycoon2FA nevű adathalászplatform működését, a hackerek alig néhány nap alatt visszaállították a régi rendet...
Ma olyan pillanatokat idézünk fel, amelyek századokat formáltak: a Tokugawa-sógunátus megalapításától az Exxon Valdez-katasztrófáig, az argentin katonai puccstól a Germanwings-tragédiáig...
Nem hiszem el, de a benzinárak egyre csak kúsznak felfelé, miközben a világ szó szerint lángokban áll – elég csak az USA, Izrael és Irán közötti háborúra gondolni...
Ha a San Franciscó-i öbölben laksz, készülj a levegőben suhanó csomagokra, mert a Wing elképesztő tempóban terjeszti ki a drónos házhoz szállítást a Szilícium-völgybe...
⚠ Országszerte kilométeres autósorok alakultak ki a benzinkutaknál, miután a Sinopec, Kína legnagyobb olajtársasága arra figyelmeztetett, hogy hamarosan jelentősen nő az üzemanyag ára...
🚀 A Pentagon történelmi léptékű, minden eddiginél gyorsabb beszerzést hajtott végre: 72 óra alatt 3000 Skydio X10D drónt rendelt, összesen 19,6 milliárd forintért (52 millió dollárért)...
🚀 Az elmúlt hetekben kritikus helyzet alakult ki az űrben: az amerikai Swift űrtávcső, a NASA egyik legrégebbi csillagászati műholdja, immár egy hónapja használaton kívül sodródik, miközben tudósok és mérnökök izgatottan várják az első ipari mentőexpedíció érkezését, amely talán megmentheti attól, hogy a Földre zuhanjon...
Az orosz Progressz 94 teherűrhajó jelentős műszaki hibát szenvedett el útban a Nemzetközi Űrállomás (ISS) felé: egy kulcsfontosságú antenna nem nyílt ki rendesen, emiatt a fedélzeti automatikával már nem lehetséges a dokkolás...
💸 A nemesfémek piacán a múlt hét drámai veszteségeket hozott: az arany árfolyama 10% fölött esett, míg az ezüst még nagyobbat, több mint 15%-ot zuhant...
🤖 A tévé aranykorában még mindenki ugyanazokat a híreket nézte, mert alig volt csatorna, a fizikai és pénzügyi korlátok miatt mindent az ABC, az NBC és a CBS uralt...
A kutatók egyedülálló módszerrel sikeresen felgyorsították az elektronok mozgását organikus napelemekben, amelynek során a töltéshordozók másodperc törtrészében, elképesztő sebességgel jutnak el egyik molekulától a másikig...
💻 2024 tavaszán, mindössze két nappal egy bonyolult szívoperáció után, egy hetvenes éveiben járó férfi váratlanul elhunyt egy közép-angliai kórházban...
