根據 Foresight News，資安公司 Mutesky 揭露了 PyPI 生態系中的一項新的供應鏈攻擊。兩個惡意套件 openai_mcp-2.41.2 與 bramin-0.0.4 會在 Python 啟動時透過 .pth 檔案自動觸發，接著下載 Bun 執行環境並執行經過混淆的 JavaScript 有效載荷，能夠竊取 GitHub PATs、AWS 憑證與 npm token，並透過使用 RSA-OAEP 的加密外傳進行資料竊取。該攻擊還具備持久性與 CI/CD 注入能力。Mutesky 確認，這款惡意程式與先前 Red Hat Cloud Services 的 npm 中毒攻擊共用相同的 RSA 公鑰與基礎設施。
免責聲明：本頁面資訊可能來自第三方來源，僅供參考，不代表 Gate 的立場或觀點，亦不構成任何財務、投資或法律建議。虛擬資產交易具有高風險，請勿僅依賴本頁資訊作出決策。詳情請參閱
免責聲明。
