FreeBuf网络安全行业门户 ·

恶意npm包潜入GitHub Actions构建流程

Q: 恶意包'@acitons/artifact'的下载次数是多少？

该恶意包已下载超过26万次。

Q: 恶意包在被发现前上传了多少个版本？

该恶意包共上传了六个版本。

💡 原文中文，约1900字，阅读约需5分钟。

📝

内容提要

发现恶意npm包“@acitons/artifact”，伪装成合法的“@actions/artifact”，专门针对GitHub Actions，已下载超26万次。该包在CI/CD管道中窃取令牌并发布恶意构件。专家建议使用短期令牌并定期更换密钥以防范此类攻击。

🎯

关键要点

发现恶意npm包'@acitons/artifact'，伪装成合法的'@actions/artifact'，专门针对GitHub Actions。
该恶意包已下载超过26万次，设计用于在CI/CD管道中窃取令牌并发布恶意构件。
专家建议使用短期令牌并定期更换密钥以防范此类攻击。
恶意包在被发现前已上传六个版本，且未被任何流行杀毒软件检测到。
该包内部嵌入了一个安装后钩子，用于下载并执行混淆的shell脚本。
攻击者利用拼写错误和CI/CD管道的自动化特性进行攻击。
建议使用Socket.dev或Phylum等工具自动扫描可疑软件包以提前防范威胁。
可能受影响的团队应立即采取应对措施，包括搜索和隔离受影响的运行器。

🔎

延伸解读

供应链安全的隐患

此次恶意npm包事件揭示了现代软件供应链中存在的严重安全隐患。许多组织对CI/CD管道的信任过于盲目，未能有效实施必要的安全控制措施，导致攻击者能够利用拼写错误进行攻击。

防范措施的重要性

专家建议使用短期令牌并定期更换密钥，以降低被攻击的风险。此外，使用自动扫描工具如Socket.dev或Phylum可以帮助团队提前识别潜在威胁，增强整体安全防护能力。

攻击者的策略分析

攻击者通过伪装成合法软件包并利用CI/CD管道的自动化特性，成功地在构建过程中执行恶意代码。这种拼写错误劫持的策略表明，开发者在依赖管理时需更加谨慎，避免因小失大。

❓

延伸问答

恶意npm包'@acitons/artifact'是如何工作的？

该包在CI/CD管道中窃取令牌并发布恶意构件，利用拼写错误和自动化特性进行攻击。

如何防范恶意npm包的攻击？

建议使用短期令牌并定期更换密钥，使用工具如Socket.dev或Phylum自动扫描可疑软件包。

恶意包'@acitons/artifact'的下载次数是多少？