💡
原文中文，约1300字，阅读约需3分钟。
📝
内容提要
红帽公司遭遇供应链攻击，黑客劫持工程师的GitHub账户，通过NPM发布恶意软件包。这些软件包利用迷你沙虫变种，窃取开发环境中的敏感凭证，影响多个企业级开发者。
🎯
关键要点
-
红帽公司遭遇供应链攻击，黑客劫持工程师的GitHub账户。
-
黑客利用NPM发布恶意软件包，这些软件包基于迷你沙虫变种，窃取开发环境中的敏感凭证。
-
此次攻击源头是GitHub账户被劫持，黑客通过NPM可信发布机制推送恶意软件包。
-
攻击者绕过了NPM的可信发布机制，利用短期OIDC令牌进行恶意操作。
-
窃取的凭证包括GitHub Actions密钥、AWS访问密钥、GCP默认凭证等多种敏感信息。
❓
延伸问答
红帽公司遭遇了什么类型的网络攻击？
红帽公司遭遇了供应链攻击，黑客劫持了工程师的GitHub账户。
黑客是如何利用NPM发布恶意软件包的？
黑客通过劫持GitHub账户，利用NPM的可信发布机制推送恶意软件包。
此次攻击中窃取了哪些类型的敏感凭证？
窃取的凭证包括GitHub Actions密钥、AWS访问密钥、GCP默认凭证等多种敏感信息。
NPM的可信发布机制是如何被绕过的？
攻击者通过盗用短期OIDC令牌获得对CI/CD流水线的访问权限，从而绕过了可信发布机制。
迷你沙虫变种在此次攻击中起到了什么作用？
迷你沙虫变种用于窃取开发环境中的敏感凭证，并尝试进行横向传播。
此次攻击对下游开发者的影响如何？
目前尚不清楚有多少下游开发者受到影响，但被感染的主要是企业级开发者。
➡️
