Tag
La campagna FakeGit ha compromesso oltre 7600 repository GitHub, diffondendo malware come SmartLoader e StealC, con oltre 14 milioni di download. Il problema non è solo di GitHub, ma rivela una più ampia vulnerabilità nella catena di approvvigionamento del software
Una vulnerabilità critica su GitHub ha esposto milioni di repository privati, ma la piattaforma ha risolto il problema in soli 29 minuti. La falla, dovuta a una gestione impropria delle push options, poteva essere sfruttata con un singolo 'git push'.
Una campagna di attacchi alla catena di approvvigionamento software ha colpito GitHub e Nx Console, mettendo in luce la vulnerabilità dei sistemi di sviluppo e distribuzione del codice. La vera sfida non è la vulnerabilità in sé, ma la mancanza di controllo sulla pipeline di integrazione e distribuzione continua.
Il noto attore minaccioso Tropic Trooper è stato associato con alta probabilità a una nuova campagna di attacchi contro individui di lingua cinese, utilizzando un lettore PDF trojanizzato e GitHub come infrastruttura di comando e controllo
Un'estensione compromessa di VS Code ha esfiltrato credenziali da migliaia di repository GitHub. Non è stato sfruttato alcun bug nel codice, ma la fiducia in un processo di sviluppo cieco. L’attacco, legato alla compromissione di TanStack, rivela una falla di governance nell’accesso alle identità digitali, non un problema tecnico irrisolvibile.
Un worm open source chiamato Shai-Hulud si è diffuso in 800 pacchetti npm, rubando segreti da ambienti CI/CD e colpendo infrastrutture basate su GitHub, AWS e Kubernetes. Non si tratta di malware sofisticato, ma di una falla sistemica nella fiducia verso le dipendenze open source, aggravata da processi di assurance dei fornitori inesistenti.
