ระบบนิเวศ PyPI ถูกโจมตีด้วย Shai-Hulud Hades; แพ็กเกจร้ายแอบขโมย GitHub PATs และข้อมูลประจำตัว AWS

2026-06-12 11:42:01

ตามรายงานของ Foresight News บริษัทความปลอดภัยไซเบอร์ Mutesky เปิดเผยการโจมตีห่วงโซ่อุปทานรูปแบบใหม่ในระบบนิเวศ PyPI พบแพ็กเกจที่เป็นอันตราย 2 รายการ คือ openai_mcp-2.41.2 และ bramin-0.0.4 ซึ่งจะทำงานแบบอัตโนมัติเมื่อ Python เริ่มต้นผ่านไฟล์ .pth จากนั้นจะดาวน์โหลดรันไทม์ Bun และเรียกใช้งานสคริปต์ JavaScript ที่ถูกทำให้อ่านยากซึ่งสามารถขโมย GitHub PATs, ข้อมูลรับรอง AWS และโทเค็น npm ได้ โดยใช้การส่งข้อมูลออกแบบเข้ารหัสด้วย RSA-OAEP การโจมตียังมีความสามารถในการคงอยู่ (persistence) และการแทรกโค้ดในระบบ CI/CD Mutesky ยืนยันว่ามัลแวร์ดังกล่าวใช้คีย์สาธารณะ RSA และโครงสร้างพื้นฐานเดียวกันกับแคมเปญการวางยาระบบ npm ของ Red Hat Cloud Services ก่อนหน้านี้

news.view.source

news.article.disclaimer

news.related.news

5 ชั่วโมง ที่แล้ว

Pi Network เปิดตัวโทเค็นทดสอบ SLICE พร้อมทำให้การเข้าร่วมแพลตฟอร์ม Launchpad ง่ายขึ้นในวันที่ 12 มิถุนายน

10 ชั่วโมง ที่แล้ว

Bitcoin Core 31.0 เผยช่องโหว่ความเป็นส่วนตัวของการส่งกระจายข้อมูลแบบส่วนตัว; เตรียมแก้ใน 31.1

22 ชั่วโมง ที่แล้ว

io.net เปิดตัว Incentive Dynamic Engine วางแผนเผา 12M โทเค็น IO

06-11 07:11

Humanity Protocol's H Token ดิ่งลง 85% เหลือ $0.10 หลัง $36M การรั่วไหลของคีย์ส่วนตัวในวันที่ 8 มิถุนายน

06-10 06:19