github

ChainCatcher 消息，慢雾发布威胁情报称，近期收到用户反馈，一个名为 sol-live 的 GitHub 仓库伪装成 Solidity 面试练习项目，但其 .vscode/settings.json 中隐藏了下载并执行远程脚本的命令，用户启动项目自定义终端配置后可能触发恶意载荷。慢雾分析显示，相关恶意载荷可收集浏览器登录数据库、钱包扩展存储及 macOS Keychain 文件，还具备扫描并上传本地文件、执行远程命令、提供交互式 Shell 访问及监控剪贴板等能力。macOS 和 Linux 环境下，需要用户主动启动恶意终端配置才会执行；Windows 端攻击链因引号处理问题尚未确认。

ChainCatcher 消息，网易 UU 远程在 GitHub 公开第三方 App 接入协议，开发者可在自己的 iOS、Android 应用中添加电脑远控入口。以给 AI 编程助手增加「连接工作电脑」按钮为例，用户首次点击会跳转至 UU 远程，选择并绑定自己的 Windows 或 Mac，之后再次点击即可直接发起远控，不必反复查找设备。远控支持全屏和画中画，用户可一边使用手机上的其他 App，一边通过 UU 远程悬浮小窗操作电脑。出门后检查家里 Mac 上的 Claude Code 或 Codex 是否完成任务，可从第三方应用直接唤起远控。开发者可获取小窗模式的连接结果，判断设备是否离线、连接是否失败。此次开放的是跨 App 调用协议，不是远控引擎源码，也不是 AI 自动操作电脑的接口。第三方应用仍需调用已安装的 UU 远程客户端，实际远控由网易完成。目前被控设备仅支持 Windows 和 macOS，手机端需使用 UU 远程 4.42.0 或更新版本。

ChainCatcher 消息，免费开源工具 REA（Reverse Engineer Anything）在 GitHub 上的星标数从 10 月 6 日的不足 1 万，一周内跃升至 10 月 12 日的逾 10 万，仅 10 月 11 日单日就新增超过 3 万。该工具将 Claude Code、OpenAI Codex 等 AI 编程助手接入 Ghidra 等专业逆向工程套件，桥接依托 Anthropic 推出的模型上下文协议 MCP。REA 自今年 4 月创建后长期无人问津，其 readme 文件声明，该工具并不声称能还原原始源代码或自动克隆应用，也不自带反编译器。REA 被用于各类软件与游戏的逆向尝试：有玩家让蜘蛛侠在《蝙蝠侠：阿卡姆之城》的哥谭市中摆荡，有人把约 1600 个《我的世界》物品塞进《艾尔登法环》与 Boss 玛莲妮亚对战，还有模组作者把《逃离塔科夫》的枪械与菜单搬进《上古卷轴 5：天际》。旧主机独占作品也在脱离主机，9 月有爱好者借助开源 AI 模型与重编译工具，把从未登陆 PC 的《神鬼寓言 2》带到 Windows，AI 约一小时完成启动，随后是漫长的手动修复；另有开发者让《GTA 5》在 iOS 上原生流畅运行。

ChainCatcher 消息，市场消息显示，OpenAI 和 GitHub 在 AI 编程工具的版权诉讼中取得胜利。

ChainCatcher 消息，慢雾安全团队近日披露，发现一个冒充 “Qwen 3.8 27B 本地量化模型” 的恶意 GitHub 仓库。该仓库标称模型文件应超过 16GB，而实际下载内容仅约 487KB，内含伪装文件、LuaJIT 解释器及经过混淆的 Lua 脚本。慢雾强调，Qwen 官方项目未被入侵。 慢雾分析指出，该恶意程序运行后会收集主机信息、截取屏幕并发送至攻击者的 C2 服务器；当硬编码服务器失效时，还会从 Polygon 链上合约读取备用 C2 地址，攻击者可通过链上交易轮换基础设施。 后续载荷可窃取浏览器登录信息、Cookie、历史记录、邮箱、WinSCP、Steam 凭证，以及加密钱包相关文件和扩展数据。慢雾还发现，至少 23 个 GitHub 仓库和 29 个类似压缩包使用了相同的 Lua 投递链。

ChainCatcher 消息，GitHub 官方状态页面显示，目前其平台正在经历服务异常，多个核心功能出现可用性下降。 根据最新公告，GitHub 网页端和 API 请求错误率一度达到约 20%，仓库归档下载以及原始仓库内容（raw repository content）下载错误率约为 50%。此外，SAML 和 OIDC 身份认证、SCIM 以及 Team Sync 功能也受到影响。 目前受影响的服务包括：Pull Requests（拉取请求）性能下降；Issues（问题追踪）性能下降；Actions（自动化工作流）性能下降；Webhooks（网络钩子）性能下降；API Requests 出现异常；GitHub Copilot 出现可用性下降。 GitHub 表示，团队正在持续调查此次事件的根本原因，并将在获得更多信息后进一步更新状态。 截至目前，GitHub 尚未公布此次故障的具体原因，也未说明是否涉及安全事件。此次服务异常可能影响依赖 GitHub 进行代码托管、持续集成部署以及 AI 辅助开发的开发者和企业用户。

ChainCatcher 消息，据 Qubic 官方 X 账号 (@Qubic) 发布公告，Qubic GitHub 组织于 7 月 13 日发生安全事件，一个被入侵的账号访问了代码库并提取了敏感信息，官方已介入处置。官方建议以下用户立即采取行动：网络守护者（Network Guardian）应立即轮换种子（seed）；Web 钱包用户若曾在当日 03:00–10:00 UTC 期间解锁钱包，请迁移至新身份；若不确定上次解锁时间，同样建议迁移；开发者在官方确认审计完成前，应暂停从 Qubic 代码库拉取或部署代码。官方表示，完整细节及后续更新将在官方 Discord 频道发布，提醒用户切勿轻信非官方渠道信息，并警告任何人不得以任何理由索取用户种子。事件善后报告将于处置完成后发布。

ChainCatcher 消息，慢雾 SlowMist 发布安全警报，检测到一起活跃的 npm 供应链攻击，目标是 @redhat-cloud-services 相关软件包。目前已确认 31+ 个包受影响，周下载量约 11.6 万次，超过 300 个 GitHub 仓库中存在被盗凭证。该攻击手法与此前“Shai-Hulud”npm 攻击高度相似，包括凭证窃取、创建恶意仓库及自动化秘密外泄。目前仍有新的可疑仓库持续出现，表明攻击仍在进行中，开发者仍在被持续感染。 潜在危害包括：GitHub/npm token 被盗、AWS/GCP/Azure 云凭证泄露、SSH 密钥和 Kubernetes 秘密收集、本地环境及钱包数据外泄、恶意仓库创建及持久化操作，甚至在 token 被吊销后可能引发破坏性行为。建议立即移除或降级受影响的 @redhat-cloud-services 包版本，全面审计 CI/CD 工作流和依赖安装，轮换所有 GitHub、npm、云服务、SSH 及钱包相关密钥，保留日志，并从干净镜像重建已暴露的开发者机器或 Runner，同时保持高度警惕。

ChainCatcher 消息，据 GoPlus 监测，黑客组织 TeamPCP 声称已拿到 GitHub 内部约 4000 个私有仓库中的源代码，并在地下论坛上标价 5 万美元进行出售，并支持样本验证。如果没人买，后续可能会免费公开这批数据。此前消息，GitHub 官方确认正在调查此次的“内部仓库的未经授权访问”问题，疑似 GitHub 员工设备上安装了恶意 VS Code/AI Coding 插件。

ChainCatcher 消息，据慢雾发布的威胁情报，近期多个高频 npm 包包括 AntV 和 Echarts-for-react 以及 Python SDK durabletask 遭到 Mini Shai-Hulud “迷你沙虫”供应链攻击。npm 账号 atool 被入侵，攻击者在 22 分钟内自动发布了 637 个恶意版本，涉及 317 个包。攻击者在 35 分钟内连续上传 durabletask 1.4.1、1.4.2 和 1.4.3 版本，绕过正常发布控制并冒充微软官方发布。 GitHub token 大规模泄露事件和 Grafana Labs 遭勒索攻击很可能与此供应链攻击相关。受影响组件包括 npm 生态系统中的 AntV、Echarts-for-react 等高频组件，以及 Python 包 durabletask 1.4.1、1.4.2 和 1.4.3。攻击者可窃取云和本地凭证、未经授权访问内部仓库和敏感云基础设施、横向移动至开发者机器和 CI/CD 管道、销售和利用泄露的 GitHub token、实施勒索和数据泄露威胁。 慢雾建议立即轮换所有暴露的凭证，替换受影响的包，隔离可能受感染的系统，并实施严格依赖审查政策。此前消息，“迷你沙虫”蠕虫近期在开源代码库里完成大面积感染，开发者需注意排查。

ChainCatcher 消息，GitHub 发文更新了关于内部仓库未授权访问事件的调查细节：GitHub 昨日检测并控制了一起员工设备遭入侵的事件，该事件涉及一个被植入恶意程序的 VS Code 扩展。GitHub 移除了恶意扩展程序，隔离了受影响的终端，并立即启动了事件响应。目前评估显示，仅 GitHub 内部仓库存在数据外传，攻击者声称的约 3800 个仓库数量与调查结果大致一致。GitHub 已优先轮换关键凭证，正在分析日志、验证凭证轮换并监控后续活动，调查完成后将发布完整报告。此外，慢雾首席信息安全官 23pds 针对此事件发文称：“通过分析网络犯罪论坛的爆料，黑客可能用 Anthropic 的 Mythos 安全 AI，用它精准突破 GitHub 的防线，偷走约 4000 个核心内部仓库：里面有 Copilot 的源码、CodeQL 的算法、Actions 运行时和整个计费系统等信息。后续分析这些代码，可能会再次攻击，对整合开源社区产生深远安全影响。”

ChainCatcher 消息，针对 GitHub 披露的内部代码库未授权访问事件，赵长鹏发文提醒称：“如果代码中包含 API Key，即使位于私有仓库，也应立即复查并更换。”

ChainCatcher 消息，GitHub 官方表示，正在调查一起针对其内部代码库的未授权访问事件。GitHub 称，目前尚无证据表明客户存储在 GitHub 平台外部的企业、组织或代码仓库数据受到影响，但公司正在持续监控基础设施，以防出现进一步异常活动。 GitHub 表示，若后续确认存在用户数据或服务受影响情况，将通过既有事件响应与通知渠道向客户进行通报。

ChainCatcher 消息，开源数据可视化工具 Grafana 在 X 平台发文表示，近期发现一名未经授权的攻击者获取了可访问 Grafana Labs GitHub 环境的 Token，并借此下载代码库。 经调查确认，此次事件未涉及客户数据或个人信息泄露，也没有发现客户系统或业务运营受到影响，事件发生后已立即启动取证分析，并认为已定位凭证泄露源头，同时已部署额外安全措施以加强环境防护。 此外，Grafana 披露攻击者曾试图通过勒索方式要求支付赎金以阻止代码库被公开，但公司最终决定拒绝支付赎金，待调查结束后将公布更多事件复盘信息。

ChainCatcher 消息，腾讯公关总监张军今日发文称，3 月 30 日，企业微信 CLI 开源项目上架 GitHub 社区，开放消息、日程、文档、智能表、会议、待办、通讯录等七大核心产品能力，支持主流 AIAgent（如 ClaudeCode、Codex、WorkBuddy、QClaw 等）调用。 开发者可基于这些能力，让 AIAgent 能以更自然的方式理解和调用企业微信能力，快速开发更贴近日常办公场景的 AI 应用。