• О нас
  • Анонсировать
  • Политика конфиденциальности
  • Связаться с нами
Новости MasterTrend
  • ДОМ
    • БЛОГ
    • МАГАЗИН
  • Учебники
  • Hardware
  • игры
  • мобильные телефоны
  • Безопасность
  • Windows
  • ИИ
  • Software
  • Сети
  • Новости
  • Russian Russian
    • Spanish Spanish
    • English English
    • Portuguese Portuguese
    • French French
    • Italian Italian
    • German German
    • Korean Korean
    • Japanese Japanese
    • Chinese Chinese
    • Thai Thai
    • Polish Polish
    • Turkish Turkish
    • Indonesian Indonesian
    • Hindi Hindi
    • Arabic Arabic
    • Swedish Swedish
    • Dutch Dutch
Нет результата
Посмотреть все результаты
  • ДОМ
    • БЛОГ
    • МАГАЗИН
  • Учебники
  • Hardware
  • игры
  • мобильные телефоны
  • Безопасность
  • Windows
  • ИИ
  • Software
  • Сети
  • Новости
  • Russian Russian
    • Spanish Spanish
    • English English
    • Portuguese Portuguese
    • French French
    • Italian Italian
    • German German
    • Korean Korean
    • Japanese Japanese
    • Chinese Chinese
    • Thai Thai
    • Polish Polish
    • Turkish Turkish
    • Indonesian Indonesian
    • Hindi Hindi
    • Arabic Arabic
    • Swedish Swedish
    • Dutch Dutch
Нет результата
Посмотреть все результаты
Новости MasterTrend
Нет результата
Посмотреть все результаты
Начало работы Безопасность

Утечка s1ngularity: 2180 аккаунтов и 7200 репозиториев.

MasterTrend Insights к MasterTrend Insights
6 сентября 2025 г.
в Безопасность
Время чтения:Лекция 4 минут
К К
0
Утечка s1ngularity — логотип GitHub на красном фоне; предупреждение системы безопасности об утечке s1ngularity, затрагивающей GitHub и NPM и подвергающей риску репозитории разработчиков.

Filtración s1ngularity: GitHub y NPM afectados. Ciberataque podría comprometer repositorios y paquetes; revoca tokens, verifica commits y actualiza dependencias con 2FA para proteger tus proyectos.

2
ОБЩИЙ
5
Просмотры
Поделиться на FacebookПоделиться в Твиттере

Contents

  1. Filtración s1ngularity: GitHub y NPM afectados 🚨
  2. El ataque a la cadena de suministro de Nx ⚠️🚀
    1. Vector de compromiso y fecha del incidente 📅
    2. Funcionamiento del malware telemetry.js 🕵️‍♂️
  3. Alcance del impacto: radio de daño y fases 📈🔥
  4. Respuesta del proyecto Nx y mitigación 🔧✅
    1. Recomendaciones y puntos clave rápidos ✏️
    2. Snippets definitorios y preguntas frecuentes ✨
    3. Похожие публикации

Filtración s1ngularity: GitHub y NPM afectados 🚨

GitHub — ilustración relacionada con fuga de tokens y secretos

Investigaciones recientes sobre el ataque a la cadena de suministro denominado «s1ngularity» contra Nx revelan una fuga masiva de credenciales: miles de tokens de cuentas y secretos de repositorios quedaron expuestos, con repercusiones en múltiples fases del incidente. Un informe post-incidente de Wiz documenta el alcance y permite entender cómo evolucionó la exfiltración y su impacto. 🚨📊

Según la evaluación publicada por los investigadores de Wiz, la brecha produjo la exposición de 2.180 cuentas y 7.200 repositorios en tres fases diferenciadas, con muchos secretos aún válidos y riesgo de daños continuos. El informe técnico aporta detalles sobre la cronología, las técnicas del atacante y la naturaleza de los secretos filtrados. 🔍📈

El ataque a la cadena de suministro de Nx ⚠️🚀

Nx es un sistema de compilación y gestión de monorepositorio de código abierto, ampliamente usado en ecosistemas JavaScript/TypeScript a escala empresarial. Cuenta con millones de descargas semanales en el registro NPM, por lo que un paquete comprometido tiene un gran alcance y puede afectar a numerosas integraciones y pipelines de desarrollo. ⚙️

Vector de compromiso y fecha del incidente 📅

El 26 de agosto de 2025, el actor malicioso explotó un flujo de trabajo de GitHub Actions vulnerable en el repositorio de Nx para publicar una versión maliciosa del paquete en NPM. El paquete incluía un script post-install malicioso llamado «telemetry.js» que actuó como malware extractor de credenciales en los sistemas afectados. 🔥

Funcionamiento del malware telemetry.js 🕵️‍♂️

El malware telemetry.js actuó como un ladrón de credenciales en Linux y macOS, intentando robar tokens de GitHub, tokens de npm, claves SSH, archivos .env, carteras de criptomonedas y otros secretos, para luego subirlos a repositorios públicos de GitHub nombrados «s1ngularity-repository». Este patrón permitió al atacante centralizar y exponer la información robada. 🔐

Prompt LLM utilizado para buscar y robar credenciales y secretos
Prompt LLM para buscar y exfiltrar credenciales y otros secretos
Source: Wiz

El atacante además integró herramientas de línea de comandos para plataformas de IA (por ejemplo, Claude, Q y Gemini) para automatizar búsquedas y recolección mediante prompts dirigidos. Wiz documenta cómo el prompt evolucionó durante el ataque, optimizando la extracción y sorteando rechazos de los modelos ante ciertas instrucciones, lo que refleja una sintonía activa del actor con técnicas LLM. ✨💡

Alcance del impacto: radio de daño y fases 📈🔥

El incidente se desarrolló en tres fases. En la primera, entre el 26 y 27 de agosto, las versiones comprometidas de Nx afectaron directamente a 1.700 usuarios y filtraron más de 2.000 secretos únicos, además de exponer alrededor de 20.000 archivos desde sistemas infectados. GitHub intervino, pero gran parte de los datos ya se habían duplicado. ⚡

  • 🔹 Fase 1 (26–27 ago): 1.700 usuarios afectados, ~2.000 secretos filtrados, 20.000 archivos comprometidos.
  • 🔸 Fase 2 (28–29 ago): uso de tokens filtrados para convertir repositorios privados en públicos; 480 cuentas adicionales comprometidas y 6.700 repositorios expuestos.
  • 🔹 Fase 3 (desde 31 ago): ataque dirigido a una organización víctima usando cuentas comprometidas para publicar 500 repositorios privados más.

Durante la segunda fase los atacantes emplearon tokens de GitHub robados para volver públicos repositorios privados y renombrarlos con la cadena ‘s1ngularity', lo que amplificó la exposición. En la tercera fase un objetivo específico fue explotado para publicar cientos de repositorios privados adicionales, evidenciando persistencia y escalada del atacante. 🎯

Visión general del ataque y su impacto
Resumen visual del ataque s1ngularity
Source: Wiz

Respuesta del proyecto Nx y mitigación 🔧✅

El equipo de Nx publicó un análisis de causa raíz en GitHub que explica cómo una inyección en el título de un pull request combinada con el uso inseguro de pull_request_target permitió ejecutar código arbitrario con permisos elevados, desencadenando el pipeline de publicación y facilitando la exfiltración del token de publicación de npm. 🛠️

Las acciones implementadas incluyeron la eliminación de paquetes maliciosos, la revocación y rotación de tokens comprometidos, y la adopción obligatoria de autenticación de dos factores para todas las cuentas publicadoras. Además, Nx adoptó el modelo Trusted Publisher de NPM y añadió aprobación manual para flujos de trabajo desencadenados por PRs. 🔐📌

Recomendaciones y puntos clave rápidos ✏️

  • ✅ Revisar y rotar tokens y secretos inmediatamente si se sospecha compromiso.
  • 📌 Evitar el uso inseguro de pull_request_target y aplicar aprobaciones manuales en flujos sensibles.
  • 🔧 Implementar autenticación multifactor y modelos de publicación confiables como Trusted Publisher.
  • ⚡ Monitorizar repositorios públicos y búsquedas automatizadas de secretos para detección temprana.

Snippets definitorios y preguntas frecuentes ✨

¿Qué es «telemetry.js»?

telemetry.js es el nombre del script post-install malicioso incluido en la versión comprometida del paquete Nx; actuó como ladrón de credenciales en sistemas Linux y macOS para recolectar y exfiltrar secretos hacia repositorios públicos controlados por el atacante. 🔍

¿Cuántas cuentas y repositorios se vieron afectados?

Según el informe de Wiz, el ataque expuso 2.180 cuentas y 7.200 repositorios a lo largo de las tres fases documentadas del incidente, con muchos secretos aún válidos y riesgo de impacto continuado. 📊


Informe Picus Blue Report 2025 — portada

46% de entornos presentaron contraseñas comprometidas, casi el doble respecto al 25% del año anterior. Obtén el Picus Blue Report 2025 para un análisis completo sobre prevención, detección y tendencias en exfiltración de datos. 📈

El informe aporta métricas, recomendaciones y casos prácticos para endurecer defensas y mejorar la respuesta ante fugas de secretos. ⭐

Поделитесь этим:
FacebookLinkedInPinterestXRedditTumblrБлюскиThreadsShare

Статьи по Теме:

  • Бронированный RDP: откройте для себя 10 основных шагов!
    Бронированный RDP: откройте для себя 10 основных шагов! 🚀
    Armored RDP: следуйте нашему всеобъемлющему контрольному списку из 10 шагов, чтобы защитить свой RDP в 2025 году 🔒✨ Защитите свою систему сейчас!
  • Dotfiles на GitHub Управляйте Linux легко и быстро!
    Dotfiles на GitHub: управляйте Linux быстро и легко! 🚀💻
    Dotfiles на GitHub экономят ваше время и обеспечивают безопасное резервное копирование. Управляйте своим Linux одним щелчком мыши! 💻🔄⚡
  • AGI 5 неотложных рисков, о которых вам следует знать сейчас
    AGI: технологическая революция, которая изменит вашу жизнь 🌐🚀
    AGI: Искусственный интеллект, который казался фантастикой, уже здесь. Узнайте, что это значит для вас. 🤖🌟
  • Менеджеры паролей
    Менеджеры паролей 🚀: ключ к избежанию…
    Менеджеры паролей 🔑 — это решение для создания и сохранения безопасных паролей без усилий. Предотвратите кражу с помощью этих приложений!…
  • ИИ и агенты автоматизации Увеличьте свою производительность в 5 раз
    Агенты ИИ и автоматизация: экономьте время и…
    ИИ и средства автоматизации кардинально меняют процессы, сокращают объем задач и ускоряют получение результатов для интеллектуального бизнеса.
  • Эквивалентность процессоров Intel и AMD
    Эквивалентность процессоров Intel и AMD
    Ищете эквиваленты процессоров Intel и AMD? Найдите все, что вам нужно знать, в нашем специализированном руководстве. Узнайте больше прямо сейчас!

Похожие публикации

  • Код ошибки 1001: легко исправить прямо сейчас! ⚡
  • Конфиденциальность ИИ: отключите Gemini и Copilot в один клик 🔒
  • Агенты ИИ: как они трансформируют ваш бизнес сегодня 💡⚡
  • Microsoft Majorana 1: революция в квантовых вычислениях! 🚀
  • ChatBIT: новый рубеж китайского военного ИИ
  • 🔥 Горячая Raspberry Pi: избегайте повреждений с помощью этого трюка ⚠️
  • Установка Windows 11 Домашняя без Интернета
  • Резервное копирование Windows 11: избегайте потерь уже сейчас! ⚠️✨
Теги: КибербезопасностьEvergreenСодержаниеMalware
Предыдущий пост

Оптимизация графического драйвера: +40 % FPS с одним обновлением.

Следующая публикация

Как определить, что замедляет работу Windows на вашем ПК: проверьте сейчас.

MasterTrend Insights

MasterTrend Insights

Наша редакционная группа делится подробными обзорами, обучающими материалами и рекомендациями, которые помогут вам максимально эффективно использовать ваши цифровые устройства и инструменты.

Следующая публикация
Как определить, что замедляет работу Windows на вашем ПК. Женщина использует ноутбук с предупреждающим знаком и изучает, как определить, что замедляет работу Windows на ее ПК, чтобы устранить замедление и оптимизировать производительность.

Как определить, что замедляет работу Windows на вашем ПК: проверьте сейчас.

5 1 голосование
Article Rating
Подписаться
Доступ
Уведомить о
гость
гость
0 Comments
Самый старый
Самый новый Наибольшее количество голосов
онлайн-комментарии
Посмотреть все комментарии

Оставайтесь на связи

  • 976 Фанаты
  • 118 Последователи
  • 1.4к Последователи
  • 1.8k Подписчики

Не пропустите последние новости в сфере технологий и игр.
Эксклюзивные советы, практические руководства и аналитика каждый день.

Форма подписки
  • Тенденции
  • Комментарии
  • Последний
Как добавить часы на рабочий стол Windows 11: 3 верных совета!

Как добавить часы на рабочий стол Windows 11: успевайте больше за считанные минуты! ⏱️

1 мая 2025 г.
12 лучших альтернатив Lucky Patcher для Android

Альтернативы Lucky Patcher: 12 лучших и простых приложений! 🎮⚡

12 мая 2025 г.
Как сохранить игру в REPO

Как сохранить игру в REPO 🔥 Узнайте секрет, как не потерять прогресс

7 июля 2025 г.
Как использовать AdGuard DNS на Android в 2024 году

Как использовать AdGuard DNS на Android в 2025 году

11 февраля 2025 г.
Функции Gmail на Android: экономьте время с помощью 5 советов

Функции Gmail на Android: 5 трюков, о которых вы не знали! 📱✨

12
Ремонт материнской платы - Ремонт материнских плат

Ремонт материнской платы ноутбука

10
Установка Windows 11 Домашняя без Интернета

Установка Windows 11 Домашняя без Интернета

10
Как создать резервную копию драйверов в Windows 11/10 за 4 шага!

Как сделать резервную копию драйверов в Windows 11/10: избегайте ошибок! 🚨💾

10
Switch 2 против Switch 1 — человек держит белую портативную консоль Nintendo Switch 2 с логотипом на экране, иллюстрируя сравнение дизайна Switch 2 и Switch 1.

Switch 2 против Switch 1: +FPS и экран 120 Гц.

6 сентября 2025 г.
Oblivion Goblin Wars: Агрессивный гоблин в темной пещере, кричащий и атакующий копьем среди сталагмитов, цепей и решеток.

Oblivion Goblin Wars: Укради тотем, посей хаос 💥⏳

6 сентября 2025 г.
Как определить, что замедляет работу Windows на вашем ПК. Женщина использует ноутбук с предупреждающим знаком и изучает, как определить, что замедляет работу Windows на ее ПК, чтобы устранить замедление и оптимизировать производительность.

Как определить, что замедляет работу Windows на вашем ПК: проверьте сейчас.

6 сентября 2025 г.
Утечка s1ngularity — логотип GitHub на красном фоне; предупреждение системы безопасности об утечке s1ngularity, затрагивающей GitHub и NPM и подвергающей риску репозитории разработчиков.

Утечка s1ngularity: 2180 аккаунтов и 7200 репозиториев.

6 сентября 2025 г.

Последние новости

Switch 2 против Switch 1 — человек держит белую портативную консоль Nintendo Switch 2 с логотипом на экране, иллюстрируя сравнение дизайна Switch 2 и Switch 1.

Switch 2 против Switch 1: +FPS и экран 120 Гц.

6 сентября 2025 г.
5
Oblivion Goblin Wars: Агрессивный гоблин в темной пещере, кричащий и атакующий копьем среди сталагмитов, цепей и решеток.

Oblivion Goblin Wars: Укради тотем, посей хаос 💥⏳

6 сентября 2025 г.
4
Как определить, что замедляет работу Windows на вашем ПК. Женщина использует ноутбук с предупреждающим знаком и изучает, как определить, что замедляет работу Windows на ее ПК, чтобы устранить замедление и оптимизировать производительность.

Как определить, что замедляет работу Windows на вашем ПК: проверьте сейчас.

6 сентября 2025 г.
5
Утечка s1ngularity — логотип GitHub на красном фоне; предупреждение системы безопасности об утечке s1ngularity, затрагивающей GitHub и NPM и подвергающей риску репозитории разработчиков.

Утечка s1ngularity: 2180 аккаунтов и 7200 репозиториев.

6 сентября 2025 г.
5
Логотип MasterTrend News

MasterTrend Info — ваш источник технологий: новости, руководства и аналитика по оборудованию, программному обеспечению, играм, мобильным устройствам и искусственному интеллекту. Подпишитесь на нашу рассылку и не пропустите ни одной тенденции.

Подписывайтесь на нас

Просмотр по категории

  • игры
  • Hardware
  • ИИ
  • мобильные телефоны
  • Новости
  • Сети
  • Безопасность
  • Software
  • Учебники
  • Windows

Последние новости

Switch 2 против Switch 1 — человек держит белую портативную консоль Nintendo Switch 2 с логотипом на экране, иллюстрируя сравнение дизайна Switch 2 и Switch 1.

Switch 2 против Switch 1: +FPS и экран 120 Гц.

6 сентября 2025 г.
Oblivion Goblin Wars: Агрессивный гоблин в темной пещере, кричащий и атакующий копьем среди сталагмитов, цепей и решеток.

Oblivion Goblin Wars: Укради тотем, посей хаос 💥⏳

6 сентября 2025 г.
  • О нас
  • Анонсировать
  • Политика конфиденциальности
  • Связаться с нами

Copyright © 2025 https://mastertrend.info/ - Все права защищены. Все товарные знаки являются собственностью их владельцев.

Spanish Spanish
Spanish Spanish
English English
Portuguese Portuguese
French French
Italian Italian
Russian Russian
German German
Chinese Chinese
Korean Korean
Japanese Japanese
Thai Thai
Hindi Hindi
Arabic Arabic
Turkish Turkish
Polish Polish
Indonesian Indonesian
Dutch Dutch
Swedish Swedish
Нет результата
Посмотреть все результаты
  • Russian Russian
    • Spanish Spanish
    • English English
    • Portuguese Portuguese
    • French French
    • Italian Italian
    • German German
    • Korean Korean
    • Japanese Japanese
    • Chinese Chinese
    • Polish Polish
    • Indonesian Indonesian
    • Turkish Turkish
    • Hindi Hindi
    • Thai Thai
    • Arabic Arabic
    • Swedish Swedish
    • Dutch Dutch
  • игры
  • Hardware
  • ИИ
  • мобильные телефоны
  • Новости
  • Сети
  • Безопасность
  • Software
  • Учебники
  • Windows

Copyright © 2025 https://mastertrend.info/ - Все права защищены. Все товарные знаки являются собственностью их владельцев.

Comment Author Info
:wpds_smile::wpds_grin::wpds_wink::wpds_mrgreen::wpds_neutral::wpds_twisted::wpds_arrow::wpds_shock::wpds_unamused::wpds_cool::wpds_evil::wpds_oops::wpds_razz::wpds_roll::wpds_cry::wpds_eek::wpds_lol::wpds_mad::wpds_sad::wpds_exclamation::wpds_question::wpds_idea::wpds_hmm::wpds_beg::wpds_whew::wpds_chuckle::wpds_silly::wpds_envy::wpds_shutmouth:
wpDiscuz
RedditБлюскиXМастодонтНовости хакеров
Поделитесь этим:
МастодонтВКWhatsAppТелеграммаSMSНовости хакеровЛинияПосланник
Ваш экземпляр Мастодонта