關(guān)鍵詞

網(wǎng)絡(luò)攻擊

網(wǎng)絡(luò)安全公司 Veracode 在最新的研究報(bào)告中披露，一款偽造的 npm 軟件包疑似用于竊取 GitHub 憑證，其下載量一度超過(guò) 20 萬(wàn)次，引發(fā)安全圈廣泛關(guān)注。然而，在事件曝光后，GitHub 隨即澄清，這并非真實(shí)攻擊，而是其內(nèi)部紅隊(duì)（Red Team）的一次安全演練。

事件起源于 11 月 7 日，Veracode 的威脅情報(bào)團(tuán)隊(duì)在 npm 平臺(tái)上發(fā)現(xiàn)一個(gè)名為“@acitons/artifact”的惡意包。這個(gè)名字與 GitHub 官方的“@actions/artifact”極為相似，顯然是利用了“typosquatting”（拼寫(xiě)劫持）策略——攻擊者通過(guò)注冊(cè)與合法組件名稱(chēng)極為接近的包名，誘導(dǎo)開(kāi)發(fā)者誤裝，從而執(zhí)行惡意代碼。該包在被下架前，累計(jì)下載次數(shù)高達(dá) 206,000 次。

Veracode 的分析顯示，這個(gè)偽造包包含一個(gè)“post-install”鉤子腳本，會(huì)在安裝后自動(dòng)下載并執(zhí)行惡意載荷，試圖竊取 GitHub Actions 環(huán)境中的訪問(wèn)令牌。這類(lèi)令牌相當(dāng)于暫時(shí)的訪問(wèn)密鑰，允許程序在構(gòu)建流程中訪問(wèn) GitHub 的代碼庫(kù)與制品倉(cāng)庫(kù)。研究人員指出，該包會(huì)檢測(cè)其所在的代碼庫(kù)歸屬，并在發(fā)現(xiàn)并非 GitHub 官方倉(cāng)庫(kù)時(shí)自動(dòng)退出執(zhí)行，顯示出攻擊行為具有極高的針對(duì)性。

初步研判認(rèn)為，這可能是一場(chǎng)旨在入侵 GitHub 內(nèi)部系統(tǒng)的供應(yīng)鏈攻擊。由于 npm 是全球最大的 JavaScript 代碼包管理平臺(tái)，任何在此發(fā)布的惡意組件都可能影響數(shù)百萬(wàn)開(kāi)發(fā)者。更令人擔(dān)憂的是，Veracode 提到，當(dāng)他們發(fā)現(xiàn)該包時(shí)，主流防毒引擎尚未識(shí)別出其威脅。惡意代碼還設(shè)定了一個(gè)自動(dòng)失效時(shí)間——到 2025 年 11 月 6 日后將停止運(yùn)行，這種“自毀式”設(shè)計(jì)通常用于規(guī)避溯源。

然而，事情在 11 月 11 日出現(xiàn)反轉(zhuǎn)。GitHub 向安全媒體 Hackread.com 證實(shí)，這些 npm 包實(shí)際上是其內(nèi)部紅隊(duì)的一次受控測(cè)試，用于驗(yàn)證安全檢測(cè)與響應(yīng)系統(tǒng)的有效性。GitHub 發(fā)言人表示：“這些軟件包是 GitHub 紅隊(duì)在嚴(yán)格控制下開(kāi)展的演練的一部分，旨在評(píng)估我們針對(duì)真實(shí)威脅行為的防御能力。整個(gè)過(guò)程中，GitHub 的系統(tǒng)與數(shù)據(jù)始終未處于風(fēng)險(xiǎn)之中?！?/p>

Veracode 隨后也更新了其博客，注明該事件并非外部攻擊。此次澄清說(shuō)明了 GitHub 在主動(dòng)安全測(cè)試上的高投入，也揭示出當(dāng)前軟件供應(yīng)鏈安全的復(fù)雜性。

雖然最終證明并非真實(shí)入侵，但這一事件仍然警醒業(yè)界：供應(yīng)鏈攻擊已成為軟件安全的關(guān)鍵威脅之一。OWASP 在 2025 年版風(fēng)險(xiǎn)排行榜（RC1）中已將其列入前十。即便是一場(chǎng)內(nèi)部演練，也足以說(shuō)明大型開(kāi)發(fā)平臺(tái)正將防范“依賴(lài)污染”“組件劫持”等新型攻擊方式視為重中之重。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專(zhuān)注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！