• Chi siamo
  • Annunciare
  • politica sulla riservatezza
  • Contattaci
Notizie MasterTrend
  • CASA
    • BLOG
    • NEGOZIO
  • Tutorial
  • Hardware
  • gioco
  • Cellulari
  • Sicurezza
  • Finestre
  • AI
  • Software
  • Reti
  • Notizia
  • Italian Italian
    • Spanish Spanish
    • English English
    • Portuguese Portuguese
    • French French
    • German German
    • Korean Korean
    • Japanese Japanese
    • Chinese Chinese
    • Russian Russian
    • Thai Thai
    • Polish Polish
    • Turkish Turkish
    • Indonesian Indonesian
    • Hindi Hindi
    • Arabic Arabic
    • Swedish Swedish
    • Dutch Dutch
Nessun risultato
Vedi tutti i risultati
  • CASA
    • BLOG
    • NEGOZIO
  • Tutorial
  • Hardware
  • gioco
  • Cellulari
  • Sicurezza
  • Finestre
  • AI
  • Software
  • Reti
  • Notizia
  • Italian Italian
    • Spanish Spanish
    • English English
    • Portuguese Portuguese
    • French French
    • German German
    • Korean Korean
    • Japanese Japanese
    • Chinese Chinese
    • Russian Russian
    • Thai Thai
    • Polish Polish
    • Turkish Turkish
    • Indonesian Indonesian
    • Hindi Hindi
    • Arabic Arabic
    • Swedish Swedish
    • Dutch Dutch
Nessun risultato
Vedi tutti i risultati
Notizie MasterTrend
Nessun risultato
Vedi tutti i risultati
Inizio Sicurezza

Fuga di notizie su s1ngularity: 2.180 account e 7.200 repository.

Approfondimenti di MasterTrend di Approfondimenti di MasterTrend
6 settembre 2025
In Sicurezza
Tempo di lettura:Lettura di 4 minuti
A A
0
Perdita di s1ngularity: logo GitHub su sfondo rosso; avviso di sicurezza per la perdita di s1ngularity che ha interessato GitHub e NPM, mettendo a rischio i repository degli sviluppatori.

Perdita di dati su s1ngularity: GitHub e NPM interessati. Un attacco informatico potrebbe compromettere repository e pacchetti; revoca token, verifica commit e aggiorna dipendenze con 2FA per proteggere i tuoi progetti.

8
CONDIVISO
21
Visualizzazioni
Condividi su FacebookCondividi su Twitter

Contenuto

  1. Perdita di S1ngularity: GitHub e NPM interessati 🚨
  2. L'attacco alla catena di fornitura Nx ⚠️🚀
    1. Vettore di compromesso e data dell'incidente 📅
    2. Come funziona il malware telemetry.js 🕵️‍♂️
  3. Raggio d'impatto: raggio di danno e fasi 📈🔥
  4. Risposta e mitigazione del progetto Nx 🔧✅
    1. Suggerimenti rapidi e punti chiave ✏️
    2. Definizione di frammenti e FAQ ✨
    3. Pubblicazioni correlate

Perdita di S1ngularity: GitHub e NPM interessati 🚨

GitHub — illustrazione relativa alla fuga di token e segreti

Recenti indagini sull'attacco alla supply chain denominato "s1ngularity" contro Nx rivelano un'enorme fuga di credenziali: migliaia di token di account e segreti di repository sono stati esposti, con ripercussioni su più fasi dell'incidente. Un rapporto post-incidente di Wiz documenta la portata e fornisce informazioni su come si è evoluta l'esfiltrazione e il suo impatto. 🚨📊

Secondo la valutazione pubblicata dai ricercatori di Wiz, la violazione ha portato all'esposizione di 2.180 account e 7.200 repository in tre fasi distinte, con molti segreti ancora validi e rischio di danni continuiIl white paper fornisce dettagli sulla cronologia, sulle tecniche dell'aggressore e sulla natura dei segreti trapelati. 🔍📈

L'attacco alla catena di fornitura Nx ⚠️🚀

Nx è un sistema di compilazione e gestione open source a repository singolo, ampiamente utilizzato negli ecosistemi JavaScript/TypeScript su scala aziendale. Con milioni di download settimanali sul registro NPM, un pacchetto compromesso ha un impatto di vasta portata su numerose integrazioni e pipeline di sviluppo. ⚙️

Vettore di compromesso e data dell'incidente 📅

Il 26 agosto 2025, l'aggressore ha sfruttato un flusso di lavoro vulnerabile di GitHub Actions nel repository Nx per pubblicare una versione dannosa del pacchetto su NPM. Il pacchetto includeva uno script di post-installazione dannoso denominato "telemetry.js" che fungeva da malware per l'estrazione delle credenziali sui sistemi interessati. 🔥

Come funziona il malware telemetry.js 🕵️‍♂️

Il malware telemetry.js ha agito come un ladro di credenziali su Linux e macOS, tentando di rubare token GitHub, token npm, chiavi SSH, file .env, wallet di criptovalute e altri segreti, per poi caricarli su repository GitHub pubblici denominati "s1ngularity-repository". Questo schema ha permesso all'aggressore di centralizzare ed esporre le informazioni rubate. 🔐

Prompt LLM utilizzato per trovare e rubare credenziali e segreti
Sollecitare LLM a trovare ed esfiltrare credenziali e altri segreti
Fonte: Wiz

L'aggressore ha anche integrato strumenti da riga di comando per piattaforme di intelligenza artificiale (ad esempio, Claude, Q e Gemini) per automatizzare la ricerca e l'harvesting utilizzando prompt mirati. Wiz documenta l'evoluzione del prompt durante l'attacco, ottimizzando l'estrazione e aggirando i rigetti del modello per determinate istruzioni, a dimostrazione dell'attiva sintonizzazione dell'aggressore con le tecniche LLM. ✨💡

Raggio d'impatto: raggio di danno e fasi 📈🔥

L'incidente si è svolto in tre fasi. Nella prima, tra il 26 e il 27 agosto, versioni compromesse di Nx hanno colpito direttamente 1.700 utenti e hanno fatto trapelare oltre 2.000 segreti univoci, oltre a esporre circa 20.000 file provenienti da sistemi infetti. GitHub è intervenuto, ma gran parte dei dati era già stata duplicata.

  • 🔹 Fase 1 (26-27 agosto): 1.700 utenti interessati, circa 2.000 segreti trapelati, 20.000 file compromessi.
  • 🔸 Fase 2 (28-29 agosto): Utilizzo di token trapelati per convertire repository privati in repository pubblici; compromessi altri 480 account e 6.700 repository esposti.
  • 🔹 Fase 3 (dal 31 agosto): attacco mirato a un'organizzazione vittima utilizzando account compromessi per pubblicare Altri 500 repository privati.

Nella seconda fase, gli aggressori hanno utilizzato token GitHub rubati per rendere pubblici repository privati e rinominarli con la stringa "s1ngularity", amplificando l'esposizione. Nella terza fase, un obiettivo specifico è stato sfruttato per pubblicare centinaia di repository privati aggiuntivi, dimostrando la persistenza e l'escalation dell'aggressore. 🎯

Panoramica dell'attacco e del suo impatto
Riepilogo visivo dell'attacco s1ngularity
Fonte: Wiz

Risposta e mitigazione del progetto Nx 🔧✅

Il team di Nx ha pubblicato un'analisi delle cause principali su GitHub spiegando come un'iniezione nel titolo di una richiesta pull, combinata con un utilizzo non sicuro di pull_request_target, abbia consentito l'esecuzione di codice arbitrario con autorizzazioni elevate, attivando la pipeline di pubblicazione e facilitando l'esfiltrazione del token di pubblicazione npm. 🛠️

Le azioni implementate includevano la rimozione di pacchetti dannosi, la revoca e la rotazione dei token compromessi e l'obbligo dell'autenticazione a due fattori per tutti gli account degli editori. Inoltre, Nx ha adottato il modello Trusted Publisher di NPM e ha aggiunto l'approvazione manuale per i flussi di lavoro attivati dalle PR. 🔐📌

Suggerimenti rapidi e punti chiave ✏️

  • ✅ Rivedere e ruotare immediatamente token e segreti se si sospetta una compromissione.
  • 📌 Evita l'uso non sicuro di pull_request_target e applica le approvazioni manuali sui flussi sensibili.
  • 🔧 Implementare l'autenticazione a più fattori e modelli di pubblicazione attendibili come Trusted Publisher.
  • ⚡ Monitora i repository pubblici ed esegui ricerche segrete automatizzate per un rilevamento tempestivo.

Definizione di frammenti e FAQ ✨

Che cos'è telemetry.js?

telemetry.js è il nome dello script post-installazione dannoso incluso nella versione compromessa del pacchetto Nx; ha agito come un ladro di credenziali sui sistemi Linux e macOS per raccogliere ed esfiltrare segreti in repository pubblici controllati dall'aggressore. 🔍

Quanti account e repository sono stati interessati?

Secondo il rapporto di Wiz, l'attacco ha esposto 2.180 account e 7.200 repository nel corso delle tre fasi documentate dell'incidente, con molti segreti ancora validi e il rischio di un impatto continuo. 📊


Picus Blue Report 2025 — copertina

461 ambienti TP3T presentavano password compromesse, quasi il doppio rispetto ai 251 TP3T dell'anno precedente. Scarica il Picus Blue Report 2025 per un'analisi completa della prevenzione, del rilevamento e delle tendenze dell'esfiltrazione di dati. 📈

Il rapporto fornisce parametri, raccomandazioni e casi di studio per rafforzare le difese e migliorare la risposta alle fughe di notizie segrete.

Condividi questo:
Fai clic su Mi PiaceLinkedInPinterestXRedditTumblrCielo bluDiscussioniCondividere

Pubblicazioni correlate

  • ID evento errore 1001: facile da risolvere ora! ⚡
  • Privacy AI: disattiva Gemini e Copilot in 1 clic 🔒
  • Agenti AI: come stanno trasformando la tua attività oggi 💡⚡
  • Microsoft Majorana 1: la rivoluzione del calcolo quantistico! 🚀
  • ChatBIT: la nuova frontiera dell'intelligenza artificiale militare cinese
  • 🔥 Raspberry Pi surriscaldato: evita danni con questo trucco ⚠️
  • Installa Windows 11 Home senza Internet
  • Backup di Windows 11: evita subito le perdite! ⚠️✨
Etichette: Sicurezza informaticaContenuto sempreverdeMalware
Post precedente

Ottimizzazione del driver grafico: +40 % FPS con un singolo aggiornamento.

Prossima pubblicazione

Come scoprire cosa rallenta Windows sul tuo PC: verifica ora.

Approfondimenti di MasterTrend

Approfondimenti di MasterTrend

Il nostro team editoriale condivide recensioni approfondite, tutorial e consigli per aiutarti a sfruttare al meglio i tuoi dispositivi e strumenti digitali.

Prossima pubblicazione
Come individuare i problemi che rallentano Windows sul tuo PC - Donna che utilizza un portatile con un cartello di avvertimento, mentre cerca di capire come individuare i problemi che rallentano Windows sul suo PC per risolvere il problema e ottimizzare le prestazioni.

Come scoprire cosa rallenta Windows sul tuo PC: verifica ora.

5 1 votare
Valutazione dell'articolo
Iscriviti
Accesso
Notifica di
ospite
ospite
0 Commenti
più antico
Più recente I più votati
Commenti in linea
Vedi tutti i commenti

Rimani connesso

  • 976 I fan
  • 118 Seguaci
  • 1,4k Seguaci
  • 1,8 mila Abbonati

Non perderti le ultime novità in fatto di tecnologia e gaming.
Ogni giorno suggerimenti esclusivi, guide pratiche e analisi.

Modulo di iscrizione
  • Tendenze
  • Commenti
  • Scorso
Come aggiungere un orologio al desktop di Windows 11: 3 trucchi infallibili!

Come aggiungere un orologio al desktop di Windows 11: fai di più in pochi minuti! ⏱️

1 maggio 2025
Come salvare la partita in REPO

Come salvare la tua partita in REPO 🔥 Scopri il segreto per non perdere i progressi

7 luglio 2025
Le 12 migliori alternative a Lucky Patcher per Android

Alternative a Lucky Patcher: 12 app migliori e più semplici! 🎮⚡

12 maggio 2025
🖥️ Come aprire "Dispositivi e stampanti" in Windows 11: 4 semplici passaggi

🌟 Come aprire "Dispositivi e stampanti" in Windows 11: un trucco incredibile!

27 febbraio 2025
Funzionalità di Gmail su Android: risparmia tempo con 5 suggerimenti

Funzionalità di Gmail su Android: 5 trucchi che non conoscevi! 📱✨

12
Riparazione Schede Madri - Riparazione Schede Madri

Riparazione della scheda madre del notebook

10
Installa Windows 11 Home senza Internet

Installa Windows 11 Home senza Internet

10
Come eseguire il backup dei driver in Windows 11/10 in 4 passaggi!

Come eseguire il backup dei driver in Windows 11/10: evita errori! 🚨💾

10
Disattivare la correzione automatica su iPhone: schermata di WhatsApp con tastiera aperta, passaggi per disattivare la correzione automatica della tastiera su iOS.

Disattiva subito la correzione automatica: scrivi liberamente in 1 minuto ⏱️🔥

16 ottobre 2025
WhatsApp sicuro: il logo di WhatsApp è protetto da una catena e un lucchetto, simbolo di sicurezza, crittografia e privacy, e protegge le chat con la verifica in due passaggi.

WhatsApp sicuro: 5 semplici passaggi per non essere spiati 🔒

16 ottobre 2025
File di aggiornamento danneggiati di Steam: come risolvere l'errore "File di aggiornamento danneggiati" di Steam; logo di Steam su sfondo scuro, guida passo passo e soluzione

File di aggiornamento danneggiati di Steam: correzione in 2 minuti ⏳

13 ottobre 2025
Anteprima di Windows 11 su laptop: Esplora file in modalità scura con una cartella e una lente di ingrandimento; una donna che usa il suo PC alla scrivania di casa.

Anteprima di Windows 11: QuickLook in stile Mac con spazio ⏱️

13 ottobre 2025

Notizie recenti

Disattivare la correzione automatica su iPhone: schermata di WhatsApp con tastiera aperta, passaggi per disattivare la correzione automatica della tastiera su iOS.

Disattiva subito la correzione automatica: scrivi liberamente in 1 minuto ⏱️🔥

16 ottobre 2025
10
WhatsApp sicuro: il logo di WhatsApp è protetto da una catena e un lucchetto, simbolo di sicurezza, crittografia e privacy, e protegge le chat con la verifica in due passaggi.

WhatsApp sicuro: 5 semplici passaggi per non essere spiati 🔒

16 ottobre 2025
6
File di aggiornamento danneggiati di Steam: come risolvere l'errore "File di aggiornamento danneggiati" di Steam; logo di Steam su sfondo scuro, guida passo passo e soluzione

File di aggiornamento danneggiati di Steam: correzione in 2 minuti ⏳

13 ottobre 2025
17
Anteprima di Windows 11 su laptop: Esplora file in modalità scura con una cartella e una lente di ingrandimento; una donna che usa il suo PC alla scrivania di casa.

Anteprima di Windows 11: QuickLook in stile Mac con spazio ⏱️

13 ottobre 2025
13
Logo di MasterTrend News

MasterTrend Info è la tua fonte di riferimento per la tecnologia: scopri notizie, tutorial e analisi su hardware, software, gaming, dispositivi mobili e intelligenza artificiale. Iscriviti alla nostra newsletter per non perderti nessuna tendenza.

Seguici

Sfoglia per categoria

  • gioco
  • Hardware
  • AI
  • Cellulari
  • Notizia
  • Reti
  • Sicurezza
  • Software
  • Tutorial
  • Finestre

Notizie recenti

Disattivare la correzione automatica su iPhone: schermata di WhatsApp con tastiera aperta, passaggi per disattivare la correzione automatica della tastiera su iOS.

Disattiva subito la correzione automatica: scrivi liberamente in 1 minuto ⏱️🔥

16 ottobre 2025
WhatsApp sicuro: il logo di WhatsApp è protetto da una catena e un lucchetto, simbolo di sicurezza, crittografia e privacy, e protegge le chat con la verifica in due passaggi.

WhatsApp sicuro: 5 semplici passaggi per non essere spiati 🔒

16 ottobre 2025
  • Chi siamo
  • Annunciare
  • politica sulla riservatezza
  • Contattaci

Copyright © 2025 https://mastertrend.info/ - Tutti i diritti riservati. Tutti i marchi commerciali appartengono ai rispettivi proprietari.

Spanish Spanish
Spanish Spanish
English English
Portuguese Portuguese
French French
Italian Italian
Russian Russian
German German
Chinese Chinese
Korean Korean
Japanese Japanese
Thai Thai
Hindi Hindi
Arabic Arabic
Turkish Turkish
Polish Polish
Indonesian Indonesian
Dutch Dutch
Swedish Swedish
Nessun risultato
Vedi tutti i risultati
  • Italian Italian
    • Spanish Spanish
    • English English
    • Portuguese Portuguese
    • French French
    • German German
    • Korean Korean
    • Japanese Japanese
    • Chinese Chinese
    • Russian Russian
    • Polish Polish
    • Indonesian Indonesian
    • Turkish Turkish
    • Hindi Hindi
    • Thai Thai
    • Arabic Arabic
    • Swedish Swedish
    • Dutch Dutch
  • gioco
  • Hardware
  • AI
  • Cellulari
  • Notizia
  • Reti
  • Sicurezza
  • Software
  • Tutorial
  • Finestre

Copyright © 2025 https://mastertrend.info/ - Tutti i diritti riservati. Tutti i marchi commerciali appartengono ai rispettivi proprietari.

Commento Informazioni autore
:wpds_smile::wpds_grin::wpds_wink::wpds_mrgreen::wpds_neutral::wpds_twisted::wpds_arrow::wpds_shock::wpds_unamused::wpds_cool::wpds_evil::wpds_oops::wpds_razz::wpds_roll::wpds_cry::wpds_eek::wpds_lol::wpds_mad::wpds_triste::wpds_esclamazione::wpds_question::wpds_idea::wpds_hmm::wpds_beg::wpds_whew::wpds_chuckle::wpds_silly::wpds_invidia::wpds_shutmouth:
wpDiscuz
RedditCielo bluXMastodonteNotizie sugli hacker
Condividi questo:
MastodonteVKMessaggio di WhatsAppTelegrammasmsNotizie sugli hackerLineaMessaggero
La tua istanza Mastodon