github

ChainCatcher 消息，慢霧安全團隊近日披露，發現一個冒充 "Qwen 3.8 27B 本地量化模型" 的惡意 GitHub 倉庫。該倉庫標稱模型文件應超過 16GB，而實際下載內容僅約 487KB，內含偽裝文件、LuaJIT 解釋器及經過混淆的 Lua 腳本。慢霧強調，Qwen 官方項目未被入侵。慢霧分析指出，該惡意程序運行後會收集主機信息、截取螢幕並發送至攻擊者的 C2 伺服器；當硬編碼伺服器失效時，還會從 Polygon 鏈上合約讀取備用 C2 地址，攻擊者可通過鏈上交易輪換基礎設施。後續載荷可竊取瀏覽器登錄信息、Cookie、歷史記錄、郵箱、WinSCP、Steam 憑證，以及加密錢包相關文件和擴展數據。慢霧還發現，至少 23 個 GitHub 倉庫和 29 個類似壓縮包使用了相同的 Lua 投遞鏈。

ChainCatcher 消息，GitHub 官方狀態頁面顯示，目前其平台正在經歷服務異常，多個核心功能出現可用性下降。根據最新公告，GitHub 網頁端和 API 請求錯誤率一度達到約 20%，倉庫歸檔下載以及原始倉庫內容（raw repository content）下載錯誤率約為 50%。此外，SAML 和 OIDC 身份認證、SCIM 以及 Team Sync 功能也受到影響。目前受影響的服務包括：Pull Requests（拉取請求）性能下降；Issues（問題追蹤）性能下降；Actions（自動化工作流）性能下降；Webhooks（網絡鉤子）性能下降；API Requests 出現異常；GitHub Copilot 出現可用性下降。GitHub 表示，團隊正在持續調查此次事件的根本原因，並將在獲得更多資訊後進一步更新狀態。截至目前，GitHub 尚未公布此次故障的具體原因，也未說明是否涉及安全事件。此次服務異常可能影響依賴 GitHub 進行代碼托管、持續集成部署以及 AI 輔助開發的開發者和企業用戶。

ChainCatcher 消息，据 Qubic 官方 X 账号 (@Qubic) 發佈公告，Qubic GitHub 組織於 7 月 13 日發生安全事件，一個被入侵的帳號訪問了代碼庫並提取了敏感資訊，官方已介入處置。官方建議以下用戶立即採取行動：網路守護者（Network Guardian）應立即輪換種子（seed）；Web 錢包用戶若曾在當日 03:00--10:00 UTC 期間解鎖錢包，請遷移至新身份；若不確定上次解鎖時間，同樣建議遷移；開發者在官方確認審計完成前，應暫停從 Qubic 代碼庫拉取或部署代碼。官方表示，完整細節及後續更新將在官方 Discord 頻道發佈，提醒用戶切勿輕信非官方渠道資訊，並警告任何人不得以任何理由索取用戶種子。事件善後報告將於處置完成後發佈。

ChainCatcher 消息，慢霧 SlowMist 發布安全警報，檢測到一起活躍的 npm 供應鏈攻擊，目標是 @redhat-cloud-services 相關軟體包。目前已確認 31+ 個包受影響，週下載量約 11.6 萬次，超過 300 個 GitHub 倉庫中存在被盜憑證。該攻擊手法與此前 "Shai-Hulud" npm 攻擊高度相似，包括憑證竊取、創建惡意倉庫及自動化秘密外洩。目前仍有新的可疑倉庫持續出現，表明攻擊仍在進行中，開發者仍在被持續感染。潛在危害包括：GitHub/npm token 被盜、AWS/GCP/Azure 雲憑證洩露、SSH 密鑰和 Kubernetes 秘密收集、本地環境及錢包數據外洩、惡意倉庫創建及持久化操作，甚至在 token 被吊銷後可能引發破壞性行為。建議立即移除或降級受影響的 @redhat-cloud-services 包版本，全面審計 CI/CD 工作流和依賴安裝，輪換所有 GitHub、npm、雲服務、SSH 及錢包相關密鑰，保留日誌，並從乾淨鏡像重建已暴露的開發者機器或 Runner，同時保持高度警惕。

ChainCatcher 消息，据 GoPlus 監測，黑客組織 TeamPCP 聲稱已拿到 GitHub 內部約 4000 個私有倉庫中的源代碼，並在地下論壇上標價 5 萬美元進行出售，並支持樣本驗證。如果沒人買，後續可能會免費公開這批數據。此前消息，GitHub 官方確認正在調查此次的「內部倉庫的未經授權訪問」問題，疑似 GitHub 員工設備上安裝了惡意 VS Code/AI Coding 插件。

ChainCatcher 消息，据慢霧發布的威脅情報，近期多個高頻 npm 包包括 AntV 和 Echarts-for-react 以及 Python SDK durabletask 遭到 Mini Shai-Hulud "迷你沙蟲"供應鏈攻擊。npm 帳號 atool 被入侵，攻擊者在 22 分鐘內自動發布了 637 個惡意版本，涉及 317 個包。攻擊者在 35 分鐘內連續上傳 durabletask 1.4.1、1.4.2 和 1.4.3 版本，繞過正常發布控制並冒充微軟官方發布。GitHub token 大規模洩露事件和 Grafana Labs 遭勒索攻擊很可能與此供應鏈攻擊相關。受影響組件包括 npm 生態系統中的 AntV、Echarts-for-react 等高頻組件，以及 Python 包 durabletask 1.4.1、1.4.2 和 1.4.3。攻擊者可竊取雲和本地憑證、未經授權訪問內部倉庫和敏感雲基礎設施、橫向移動至開發者機器和 CI/CD 管道、銷售和利用洩露的 GitHub token、實施勒索和數據洩露威脅。慢霧建議立即輪換所有暴露的憑證，替換受影響的包，隔離可能受感染的系統，並實施嚴格依賴審查政策。此前消息，"迷你沙蟲"蠕蟲近期在開源代碼庫裡完成大面積感染，開發者需注意排查。

ChainCatcher 消息，GitHub 發文更新了關於內部倉庫未授權訪問事件的調查細節：GitHub 昨日檢測並控制了一起員工設備遭入侵的事件，該事件涉及一個被植入惡意程序的 VS Code 擴展。GitHub 移除了惡意擴展程序，隔離了受影響的終端，並立即啟動了事件響應。目前評估顯示，僅 GitHub 內部倉庫存在數據外傳，攻擊者聲稱的約 3800 個倉庫數量與調查結果大致一致。GitHub 已優先輪換關鍵憑證，正在分析日誌、驗證憑證輪換並監控後續活動，調查完成後將發布完整報告。此外，慢霧首席信息安全官 23pds 對此事件發文稱："通過分析網絡犯罪論壇的爆料，黑客可能用 Anthropic 的 Mythos 安全 AI，用它精準突破 GitHub 的防線，偷走約 4000 個核心內部倉庫：裡面有 Copilot 的源碼、CodeQL 的算法、Actions 運行時和整個計費系統等信息。後續分析這些代碼，可能會再次攻擊，對整合開源社區產生深遠安全影響。"

ChainCatcher 消息，針對 GitHub 披露的內部代碼庫未授權訪問事件，趙長鵬發文提醒稱："如果代碼中包含 API Key，即使位於私有倉庫，也應立即復查並更換。"

ChainCatcher 消息，GitHub 官方表示，正在調查一起針對其內部代碼庫的未授權訪問事件。GitHub 稱，目前尚無證據表明客戶儲存在 GitHub 平台外部的企業、組織或代碼倉庫數據受到影響，但公司正在持續監控基礎設施，以防出現進一步異常活動。GitHub 表示，若後續確認存在用戶數據或服務受影響情況，將通過既有事件響應與通知渠道向客戶進行通報。

ChainCatcher 消息，開源數據可視化工具 Grafana 在 X 平台發文表示，近期發現一名未經授權的攻擊者獲取了可訪問 Grafana Labs GitHub 環境的 Token，並藉此下載代碼庫。經調查確認，此次事件未涉及客戶數據或個人信息洩露，也沒有發現客戶系統或業務運營受到影響，事件發生後已立即啟動取證分析，並認為已定位憑證洩露源頭，同時已部署額外安全措施以加強環境防護。此外，Grafana 披露攻擊者曾試圖通過勒索方式要求支付贖金以阻止代碼庫被公開，但公司最終決定拒絕支付贖金，待調查結束後將公布更多事件復盤信息。

ChainCatcher 消息，騰訊公關總監張軍今日發文稱，3 月 30 日，企業微信 CLI 開源項目上架 GitHub 社區，開放消息、日程、文檔、智能表、會議、待辦、通訊錄等七大核心產品能力，支持主流 AIAgent（如 ClaudeCode、Codex、WorkBuddy、QClaw 等）調用。開發者可基於這些能力，讓 AIAgent 能以更自然的方式理解和調用企業微信能力，快速開發更貼近日常辦公場景的 AI 應用。

ChainCatcher 消息，据市場消息，安全平台 OX Security 披露，AI 代理項目 OpenClaw 的開發者正成為加密貨幣釣魚活動的目標。攻擊者創建虛假 GitHub 帳號，在攻擊者控制的倉庫中發起議題並 @ 數十名開發者，聲稱其贏得 5000 美元 CLAW 代幣獎勵，並引導至與 openclaw.ai 幾乎完全相同的克隆網站。該釣魚網站多了一個"連接錢包"按鈕，旨在竊取連接的錢包資產。惡意代碼隱藏在經過深度混淆的 JavaScript 文件中，具備清除瀏覽器本地存儲數據的"nuke"功能以阻礙取證分析，並將錢包地址、交易值等信息編碼後傳回 C2 伺服器。研究者識別出一個疑似用於接收被盜資金的加密錢包地址。相關帳號上週創建，數小時內即被刪除，目前尚無確認受害者。OpenClaw 因其高關注度已成為詐騙分子的目標，其 Discord 社區此前也遭遇大量加密貨幣垃圾信息。此前消息，OpenClaw 創始人提醒稱，警惕假冒 OpenClaw 名義發送的加密貨幣詐騙郵件。

ChainCatcher 消息，OpenClaw 創始人 Peter Steinberger 發文抨擊 GitHub 安全漏洞報告流程存在多項問題，他指出目前漏洞報告僅對管理員開放訪問權限，導致團隊內部難以有效分發和協作處理。此外 GitHub 在漏洞報告方面 API 功能不足，無法通過自動化代理讀取或發布評論，這限制了安全響應流程的自動化能力，Peter Steinberger 還特別指出當前漏洞報告中充斥大量 AI 生成的低質量內容，需要花費數小時進行篩選，進一步增加了安全處理工作的負擔。

ChainCatcher 消息，Pump.fun 宣布上線 GitHub 創作者費用共享功能，用戶現在可以通過 Pump.fun 移動應用將創作者費用分配給任何 GitHub 帳戶。更多社交功能即將推出。

ChainCatcher 消息，ClawdBot（現更名為 Moltbot）創始人 Peter Steinberger 在社交媒體發文表示，其 GitHub 賬戶劫持問題已經解決，此問題僅影響個人賬戶而非組織賬戶。他特別提醒用戶警惕約 20 個冒充的 X 詐騙賬號。

ChainCatcher 消息，据澎湃新聞報導，近日有消息稱，騰訊已正式向 GitHub（全球最大代碼托管與協作平台）發出投訴函，要求下架一批 "允許用戶導出或分析自己微信聊天記錄" 的開源項目。其中，部分較受關注的項目負責人公開表示，在法律壓力下，項目被迫停止維護。騰訊方面回應，部分讀取微信聊天記錄的開源項目，是通過對微信客戶端進行逆向工程等手段，破解本地數據庫的密鑰，以繞過微信客戶端的加密措施，威脅用戶本人及第三方數據隱私及客戶端安全，且極易被黑灰產利用。