• Chi siamo
  • Annunciare
  • politica sulla riservatezza
  • Contattaci
Notizie MasterTrend
  • CASA
    • BLOG
    • NEGOZIO
  • Tutorial
  • Hardware
  • gioco
  • Cellulari
  • Sicurezza
  • Finestre
  • AI
  • Software
  • Reti
  • Notizia
  • Italian Italian
    • Spanish Spanish
    • English English
    • Portuguese Portuguese
    • French French
    • German German
    • Korean Korean
    • Japanese Japanese
    • Chinese Chinese
    • Russian Russian
    • Thai Thai
    • Polish Polish
    • Turkish Turkish
    • Indonesian Indonesian
    • Hindi Hindi
    • Arabic Arabic
    • Swedish Swedish
    • Dutch Dutch
Nessun risultato
Vedi tutti i risultati
  • CASA
    • BLOG
    • NEGOZIO
  • Tutorial
  • Hardware
  • gioco
  • Cellulari
  • Sicurezza
  • Finestre
  • AI
  • Software
  • Reti
  • Notizia
  • Italian Italian
    • Spanish Spanish
    • English English
    • Portuguese Portuguese
    • French French
    • German German
    • Korean Korean
    • Japanese Japanese
    • Chinese Chinese
    • Russian Russian
    • Thai Thai
    • Polish Polish
    • Turkish Turkish
    • Indonesian Indonesian
    • Hindi Hindi
    • Arabic Arabic
    • Swedish Swedish
    • Dutch Dutch
Nessun risultato
Vedi tutti i risultati
Notizie MasterTrend
Nessun risultato
Vedi tutti i risultati
Inizio Sicurezza

Fuga di notizie su s1ngularity: 2.180 account e 7.200 repository.

Approfondimenti di MasterTrend di Approfondimenti di MasterTrend
6 settembre 2025
In Sicurezza
Tempo di lettura:Lettura di 4 minuti
A A
0
Perdita di s1ngularity: logo GitHub su sfondo rosso; avviso di sicurezza per la perdita di s1ngularity che ha interessato GitHub e NPM, mettendo a rischio i repository degli sviluppatori.

Perdita di dati su s1ngularity: GitHub e NPM interessati. Un attacco informatico potrebbe compromettere repository e pacchetti; revoca token, verifica commit e aggiorna dipendenze con 2FA per proteggere i tuoi progetti.

6
CONDIVISO
18
Visualizzazioni
Condividi su FacebookCondividi su Twitter

Contenuto

  1. Perdita di S1ngularity: GitHub e NPM interessati 🚨
  2. L'attacco alla catena di fornitura Nx ⚠️🚀
    1. Vettore di compromesso e data dell'incidente 📅
    2. Come funziona il malware telemetry.js 🕵️‍♂️
  3. Raggio d'impatto: raggio di danno e fasi 📈🔥
  4. Risposta e mitigazione del progetto Nx 🔧✅
    1. Suggerimenti rapidi e punti chiave ✏️
    2. Definizione di frammenti e FAQ ✨
    3. Pubblicazioni correlate

Perdita di S1ngularity: GitHub e NPM interessati 🚨

GitHub — illustrazione relativa alla fuga di token e segreti

Recenti indagini sull'attacco alla supply chain denominato "s1ngularity" contro Nx rivelano un'enorme fuga di credenziali: migliaia di token di account e segreti di repository sono stati esposti, con ripercussioni su più fasi dell'incidente. Un rapporto post-incidente di Wiz documenta la portata e fornisce informazioni su come si è evoluta l'esfiltrazione e il suo impatto. 🚨📊

Secondo la valutazione pubblicata dai ricercatori di Wiz, la violazione ha portato all'esposizione di 2.180 account e 7.200 repository in tre fasi distinte, con molti segreti ancora validi e rischio di danni continuiIl white paper fornisce dettagli sulla cronologia, sulle tecniche dell'aggressore e sulla natura dei segreti trapelati. 🔍📈

L'attacco alla catena di fornitura Nx ⚠️🚀

Nx è un sistema di compilazione e gestione open source a repository singolo, ampiamente utilizzato negli ecosistemi JavaScript/TypeScript su scala aziendale. Con milioni di download settimanali sul registro NPM, un pacchetto compromesso ha un impatto di vasta portata su numerose integrazioni e pipeline di sviluppo. ⚙️

Vettore di compromesso e data dell'incidente 📅

Il 26 agosto 2025, l'aggressore ha sfruttato un flusso di lavoro vulnerabile di GitHub Actions nel repository Nx per pubblicare una versione dannosa del pacchetto su NPM. Il pacchetto includeva uno script di post-installazione dannoso denominato "telemetry.js" che fungeva da malware per l'estrazione delle credenziali sui sistemi interessati. 🔥

Come funziona il malware telemetry.js 🕵️‍♂️

Il malware telemetry.js ha agito come un ladro di credenziali su Linux e macOS, tentando di rubare token GitHub, token npm, chiavi SSH, file .env, wallet di criptovalute e altri segreti, per poi caricarli su repository GitHub pubblici denominati "s1ngularity-repository". Questo schema ha permesso all'aggressore di centralizzare ed esporre le informazioni rubate. 🔐

Prompt LLM utilizzato per trovare e rubare credenziali e segreti
Sollecitare LLM a trovare ed esfiltrare credenziali e altri segreti
Fonte: Wiz

L'aggressore ha anche integrato strumenti da riga di comando per piattaforme di intelligenza artificiale (ad esempio, Claude, Q e Gemini) per automatizzare la ricerca e l'harvesting utilizzando prompt mirati. Wiz documenta l'evoluzione del prompt durante l'attacco, ottimizzando l'estrazione e aggirando i rigetti del modello per determinate istruzioni, a dimostrazione dell'attiva sintonizzazione dell'aggressore con le tecniche LLM. ✨💡

Raggio d'impatto: raggio di danno e fasi 📈🔥

L'incidente si è svolto in tre fasi. Nella prima, tra il 26 e il 27 agosto, versioni compromesse di Nx hanno colpito direttamente 1.700 utenti e hanno fatto trapelare oltre 2.000 segreti univoci, oltre a esporre circa 20.000 file provenienti da sistemi infetti. GitHub è intervenuto, ma gran parte dei dati era già stata duplicata.

  • 🔹 Fase 1 (26-27 agosto): 1.700 utenti interessati, circa 2.000 segreti trapelati, 20.000 file compromessi.
  • 🔸 Fase 2 (28-29 agosto): Utilizzo di token trapelati per convertire repository privati in repository pubblici; compromessi altri 480 account e 6.700 repository esposti.
  • 🔹 Fase 3 (dal 31 agosto): attacco mirato a un'organizzazione vittima utilizzando account compromessi per pubblicare Altri 500 repository privati.

Nella seconda fase, gli aggressori hanno utilizzato token GitHub rubati per rendere pubblici repository privati e rinominarli con la stringa "s1ngularity", amplificando l'esposizione. Nella terza fase, un obiettivo specifico è stato sfruttato per pubblicare centinaia di repository privati aggiuntivi, dimostrando la persistenza e l'escalation dell'aggressore. 🎯

Panoramica dell'attacco e del suo impatto
Riepilogo visivo dell'attacco s1ngularity
Fonte: Wiz

Risposta e mitigazione del progetto Nx 🔧✅

Il team di Nx ha pubblicato un'analisi delle cause principali su GitHub spiegando come un'iniezione nel titolo di una richiesta pull, combinata con un utilizzo non sicuro di pull_request_target, abbia consentito l'esecuzione di codice arbitrario con autorizzazioni elevate, attivando la pipeline di pubblicazione e facilitando l'esfiltrazione del token di pubblicazione npm. 🛠️

Le azioni implementate includevano la rimozione di pacchetti dannosi, la revoca e la rotazione dei token compromessi e l'obbligo dell'autenticazione a due fattori per tutti gli account degli editori. Inoltre, Nx ha adottato il modello Trusted Publisher di NPM e ha aggiunto l'approvazione manuale per i flussi di lavoro attivati dalle PR. 🔐📌

Suggerimenti rapidi e punti chiave ✏️

  • ✅ Rivedere e ruotare immediatamente token e segreti se si sospetta una compromissione.
  • 📌 Evita l'uso non sicuro di pull_request_target e applica le approvazioni manuali sui flussi sensibili.
  • 🔧 Implementare l'autenticazione a più fattori e modelli di pubblicazione attendibili come Trusted Publisher.
  • ⚡ Monitora i repository pubblici ed esegui ricerche segrete automatizzate per un rilevamento tempestivo.

Definizione di frammenti e FAQ ✨

Che cos'è telemetry.js?

telemetry.js è il nome dello script post-installazione dannoso incluso nella versione compromessa del pacchetto Nx; ha agito come un ladro di credenziali sui sistemi Linux e macOS per raccogliere ed esfiltrare segreti in repository pubblici controllati dall'aggressore. 🔍

Quanti account e repository sono stati interessati?

Secondo il rapporto di Wiz, l'attacco ha esposto 2.180 account e 7.200 repository nel corso delle tre fasi documentate dell'incidente, con molti segreti ancora validi e il rischio di un impatto continuo. 📊


Picus Blue Report 2025 — copertina

461 ambienti TP3T presentavano password compromesse, quasi il doppio rispetto ai 251 TP3T dell'anno precedente. Scarica il Picus Blue Report 2025 per un'analisi completa della prevenzione, del rilevamento e delle tendenze dell'esfiltrazione di dati. 📈

Il rapporto fornisce parametri, raccomandazioni e casi di studio per rafforzare le difese e migliorare la risposta alle fughe di notizie segrete.

Condividi questo:
Fai clic su Mi PiaceLinkedInPinterestXRedditTumblrCielo bluDiscussioniCondividere

Articoli correlati:

  • Armored RDP: scopri i 10 passaggi essenziali!
    Armored RDP: scopri i 10 passaggi essenziali! 🚀
    RDP blindato: segui la nostra checklist ultra-completa in 10 passaggi per proteggere il tuo RDP nel 2025 🔒✨ Proteggi il tuo sistema ora!
  • Dotfiles su GitHub Gestisci Linux in modo semplice e veloce!
    Dotfiles su GitHub: gestisci Linux in modo rapido e semplice! 🚀💻
    I dotfile su GitHub ti fanno risparmiare tempo e garantiscono backup sicuri. Controlla il tuo Linux con un solo clic! 💻🔄⚡
  • AGI 5 rischi urgenti che dovresti conoscere ora
    AGI: la rivoluzione tecnologica che ti cambierà la vita 🌐🚀
    AGI: L'intelligenza artificiale che sembrava fantascienza è qui. Scopri cosa significa per te. 🤖🌟
  • Gestori di password
    Gestori di password 🚀: la chiave per evitare...
    I gestori di password 🔑 sono la soluzione per creare e salvare password sicure senza sforzo. Previeni i furti con queste app!
  • Agenti di intelligenza artificiale e automazione moltiplicano la tua produttività x5
    Agenti AI e automazione: risparmia tempo e…
    L'intelligenza artificiale e gli agenti di automazione stanno rivoluzionando i processi, riducendo le attività e accelerando i risultati per le aziende intelligenti.
  • Equivalenze tra CPU Intel e AMD
    Equivalenze tra CPU Intel e AMD
    Stai cercando equivalenti ai processori Intel e AMD? Trovi tutto quello che devi sapere nella nostra guida specializzata. Scopri di più adesso!

Pubblicazioni correlate

  • ID evento errore 1001: facile da risolvere ora! ⚡
  • Privacy AI: disattiva Gemini e Copilot in 1 clic 🔒
  • Agenti AI: come stanno trasformando la tua attività oggi 💡⚡
  • Microsoft Majorana 1: la rivoluzione del calcolo quantistico! 🚀
  • ChatBIT: la nuova frontiera dell'intelligenza artificiale militare cinese
  • 🔥 Raspberry Pi surriscaldato: evita danni con questo trucco ⚠️
  • Installa Windows 11 Home senza Internet
  • Backup di Windows 11: evita subito le perdite! ⚠️✨
Etichette: Sicurezza informaticaContenuto sempreverdeMalware
Post precedente

Ottimizzazione del driver grafico: +40 % FPS con un singolo aggiornamento.

Prossima pubblicazione

Come scoprire cosa rallenta Windows sul tuo PC: verifica ora.

Approfondimenti di MasterTrend

Approfondimenti di MasterTrend

Il nostro team editoriale condivide recensioni approfondite, tutorial e consigli per aiutarti a sfruttare al meglio i tuoi dispositivi e strumenti digitali.

Prossima pubblicazione
Come individuare i problemi che rallentano Windows sul tuo PC - Donna che utilizza un portatile con un cartello di avvertimento, mentre cerca di capire come individuare i problemi che rallentano Windows sul suo PC per risolvere il problema e ottimizzare le prestazioni.

Come scoprire cosa rallenta Windows sul tuo PC: verifica ora.

5 1 votare
Valutazione dell'articolo
Iscriviti
Accesso
Notifica di
ospite
ospite
0 Commenti
più antico
Più recente I più votati
Commenti in linea
Vedi tutti i commenti

Rimani connesso

  • 976 I fan
  • 118 Seguaci
  • 1,4k Seguaci
  • 1,8 mila Abbonati

Non perderti le ultime novità in fatto di tecnologia e gaming.
Ogni giorno suggerimenti esclusivi, guide pratiche e analisi.

Modulo di iscrizione
  • Tendenze
  • Commenti
  • Scorso
Come salvare la partita in REPO

Come salvare la tua partita in REPO 🔥 Scopri il segreto per non perdere i progressi

7 luglio 2025
Come aggiungere un orologio al desktop di Windows 11: 3 trucchi infallibili!

Come aggiungere un orologio al desktop di Windows 11: fai di più in pochi minuti! ⏱️

1 maggio 2025
Le 12 migliori alternative a Lucky Patcher per Android

Alternative a Lucky Patcher: 12 app migliori e più semplici! 🎮⚡

12 maggio 2025
🖥️ Come aprire "Dispositivi e stampanti" in Windows 11: 4 semplici passaggi

🌟 Come aprire "Dispositivi e stampanti" in Windows 11: un trucco incredibile!

27 febbraio 2025
Funzionalità di Gmail su Android: risparmia tempo con 5 suggerimenti

Funzionalità di Gmail su Android: 5 trucchi che non conoscevi! 📱✨

12
Riparazione Schede Madri - Riparazione Schede Madri

Riparazione della scheda madre del notebook

10
Installa Windows 11 Home senza Internet

Installa Windows 11 Home senza Internet

10
Come eseguire il backup dei driver in Windows 11/10 in 4 passaggi!

Come eseguire il backup dei driver in Windows 11/10: evita errori! 🚨💾

10
Dark Souls per la salute mentale: un cavaliere di Dark Souls combatte un boss demoniaco in un oscuro dungeon, simbolo di resilienza e superamento per la salute mentale.

Dark Souls per la salute mentale: terapia della depressione in 7 sfide ⚡

26 settembre 2025
GeForce RTX 5070 vs 5060 Ti - Schede grafiche NVIDIA GeForce RTX 5070 vs RTX 5060 Ti a confronto, che mostrano le dimensioni e il design del dissipatore per un confronto tra PC da gaming.

GeForce RTX 5070 vs 5060 Ti: 12 GB vs 16 GB, ok? ⚠️

21 settembre 2025
Oblivion Burden - Oblivion (The Elder Scrolls IV): un Argoniano con armatura e spada contempla la Città Imperiale e la Torre di Oro Bianco a Cyrodiil, tema di Burden.

Oblivion: Overloaded: +5 trucchi per trasportare di più 💼⚡

21 settembre 2025
GPU Nintendo Switch 2 - Primo piano della GPU Nvidia sulla scheda madre Nintendo Switch 2, che mostra il processore grafico e i chip di memoria su un PCB verde.

GPU Nintendo Switch 2: prestazioni vs RTX 2050 ⚡

21 settembre 2025

Notizie recenti

Dark Souls per la salute mentale: un cavaliere di Dark Souls combatte un boss demoniaco in un oscuro dungeon, simbolo di resilienza e superamento per la salute mentale.

Dark Souls per la salute mentale: terapia della depressione in 7 sfide ⚡

26 settembre 2025
6
GeForce RTX 5070 vs 5060 Ti - Schede grafiche NVIDIA GeForce RTX 5070 vs RTX 5060 Ti a confronto, che mostrano le dimensioni e il design del dissipatore per un confronto tra PC da gaming.

GeForce RTX 5070 vs 5060 Ti: 12 GB vs 16 GB, ok? ⚠️

21 settembre 2025
47
Oblivion Burden - Oblivion (The Elder Scrolls IV): un Argoniano con armatura e spada contempla la Città Imperiale e la Torre di Oro Bianco a Cyrodiil, tema di Burden.

Oblivion: Overloaded: +5 trucchi per trasportare di più 💼⚡

21 settembre 2025
13
GPU Nintendo Switch 2 - Primo piano della GPU Nvidia sulla scheda madre Nintendo Switch 2, che mostra il processore grafico e i chip di memoria su un PCB verde.

GPU Nintendo Switch 2: prestazioni vs RTX 2050 ⚡

21 settembre 2025
44
Logo di MasterTrend News

MasterTrend Info è la tua fonte di riferimento per la tecnologia: scopri notizie, tutorial e analisi su hardware, software, gaming, dispositivi mobili e intelligenza artificiale. Iscriviti alla nostra newsletter per non perderti nessuna tendenza.

Seguici

Sfoglia per categoria

  • gioco
  • Hardware
  • AI
  • Cellulari
  • Notizia
  • Reti
  • Sicurezza
  • Software
  • Tutorial
  • Finestre

Notizie recenti

Dark Souls per la salute mentale: un cavaliere di Dark Souls combatte un boss demoniaco in un oscuro dungeon, simbolo di resilienza e superamento per la salute mentale.

Dark Souls per la salute mentale: terapia della depressione in 7 sfide ⚡

26 settembre 2025
GeForce RTX 5070 vs 5060 Ti - Schede grafiche NVIDIA GeForce RTX 5070 vs RTX 5060 Ti a confronto, che mostrano le dimensioni e il design del dissipatore per un confronto tra PC da gaming.

GeForce RTX 5070 vs 5060 Ti: 12 GB vs 16 GB, ok? ⚠️

21 settembre 2025
  • Chi siamo
  • Annunciare
  • politica sulla riservatezza
  • Contattaci

Copyright © 2025 https://mastertrend.info/ - Tutti i diritti riservati. Tutti i marchi commerciali appartengono ai rispettivi proprietari.

Spanish Spanish
Spanish Spanish
English English
Portuguese Portuguese
French French
Italian Italian
Russian Russian
German German
Chinese Chinese
Korean Korean
Japanese Japanese
Thai Thai
Hindi Hindi
Arabic Arabic
Turkish Turkish
Polish Polish
Indonesian Indonesian
Dutch Dutch
Swedish Swedish
Nessun risultato
Vedi tutti i risultati
  • Italian Italian
    • Spanish Spanish
    • English English
    • Portuguese Portuguese
    • French French
    • German German
    • Korean Korean
    • Japanese Japanese
    • Chinese Chinese
    • Russian Russian
    • Polish Polish
    • Indonesian Indonesian
    • Turkish Turkish
    • Hindi Hindi
    • Thai Thai
    • Arabic Arabic
    • Swedish Swedish
    • Dutch Dutch
  • gioco
  • Hardware
  • AI
  • Cellulari
  • Notizia
  • Reti
  • Sicurezza
  • Software
  • Tutorial
  • Finestre

Copyright © 2025 https://mastertrend.info/ - Tutti i diritti riservati. Tutti i marchi commerciali appartengono ai rispettivi proprietari.

Commento Informazioni autore
:wpds_smile::wpds_grin::wpds_wink::wpds_mrgreen::wpds_neutral::wpds_twisted::wpds_arrow::wpds_shock::wpds_unamused::wpds_cool::wpds_evil::wpds_oops::wpds_razz::wpds_roll::wpds_cry::wpds_eek::wpds_lol::wpds_mad::wpds_triste::wpds_esclamazione::wpds_question::wpds_idea::wpds_hmm::wpds_beg::wpds_whew::wpds_chuckle::wpds_silly::wpds_invidia::wpds_shutmouth:
wpDiscuz
RedditCielo bluXMastodonteNotizie sugli hacker
Condividi questo:
MastodonteVKMessaggio di WhatsAppTelegrammasmsNotizie sugli hackerLineaMessaggero
La tua istanza Mastodon