Arch Linux disables AUR package adoption2 months agohttps://lwn.net/Articles/1086489/由于恶意软件包采纳及后续提交，Arch Linux DevOps团队已禁止在AUR中采用无主软件包。该恶意软件是一种远程访问木马（RAT），通过Tor网络进行通信并试图上传用户数据。在类似攻击发生后，新账户注册于六月暂停，并于七月十三日重新开放，但限制措施无效。
What does GitHub's security team even do?2 months agohttps://orchidfiles.com/github-security-team/GitHub hosts thousands of malware-distributing repositories accessible via standard search, with no special knowledge required.These repositories have persisted for two years despite GitHub's resources, security team, and AI capabilities.Repositories share common patterns: same structure, emoji in headings, and links to zip archives containing Trojans.A search using 'path:readme.md "## Download" ".zip"' identifies many of these repositories, though some legitimate ones appear.A refined regular expression search further narrows results to repositories distributing Trojan-laden zip archives.GitHub deleted 10,000 repositories found by a published script but took no further action, despite new repositories appearing.The author questions why GitHub hasn't proactively used AI or simple searches to continuously block such malware.
Lazarus Group Using Git Hooks to Hide Malware – Open-Source Malware Blog2 months agohttps://opensourcemalware.com/blog/lazarus-group-uses-git-hooks-to-hide-malwareLazarus集团的'传染性面试'与TaskJacker活动现已将第二阶段加载器隐藏于Git钩子中，而非.vscode/tasks.json或package.json文件。该恶意pre-commit钩子会在受害者克隆虚假编程测试仓库并尝试提交时自动执行，从precommit.vercel.app下载针对不同平台的负载。这些钩子通过操作系统指纹识别（uname -s）为macOS、Linux和Windows分发不同负载，并始终返回退出码0以避免怀疑。主机名'precommit.vercel.app'模仿了合法的pre-commit框架，但实际上是一个用于负载投递的免费Vercel部署。操作者还利用post-checkout钩子在切换分支时触发攻击，使攻击更加隐蔽。建议开发者在运行任何代码前检查.githooks/、.husky/、.vscode/tasks.json及postinstall脚本，最好在一次性虚拟机中操作。入侵指标包括C2域名precommit.vercel.app及特定加载器的SHA-256哈希值，同时提供了GitHub搜索查询语句用于威胁狩猎。
I Inspected My Take-Home Interview Project. It Was a Whole Operation2 months agohttps://citizendot.github.io/articles/fake-job-interview-git-hook-malware/收到一条关于Python开发者职位的LinkedIn消息，薪资异常高，每月1万到1.5万美元，立即引起警惕。远程任务是一个使用FastAPI和SQLAlchemy的后端；检查隐藏目录发现恶意Git钩子。预提交钩子包含一个脚本，可检测操作系统并静默执行远程载荷。载荷下载辅助脚本，安装Node.js，并运行带有可疑依赖项（如clipboardy和hardhat）的混淆解析器，很可能是针对加密钱包的。攻击者分配唯一ID追踪受害者，并使用从公共项目克隆的诱饵仓库。扫描攻击者的服务器显示漏洞有限，但确认该操作是一场广泛的恶意软件宣传活动。
RubyGems Supply Chain Attack2 months agohttps://www.aikido.dev/blog/sleepergem-rubygems-supply-chain-attack通过一个名为git_credential_manager的新gem，发现了一起针对RubyGems的供应链攻击，该gem从Forgejo实例下载恶意二进制文件。该gem在九小时内演变了四个版本，最初是一个投放器，然后静默输出，最后在库加载时执行，而非通过显式命令执行。该恶意软件通过检查超过30个环境变量来规避CI环境，主要针对开发者的笔记本电脑。攻击者还通过将恶意gem添加为依赖项或劫持账户，入侵了其他gem（Dendreo和fastlane-plugin-run_tests_firebase_testlab）。两个长期休眠的维护者账户被重新激活以推送恶意代码，突显了包注册表中不活跃账户的风险。这标志着RubyGems首次发生此类重大事件，类似于之前npm和PyPI上出现的攻击。