刚刷到个离谱的：你昨天顺手打开的那个开源项目，字体文件夹里住着小偷。🕵️ 10 月 19 日，安全研究者抓了个现行。GhostAction 换打法了——10… · @chenYijl · TwKit

@chenYijl

刚刷到个离谱的：你昨天顺手打开的那个开源项目，字体文件夹里住着小偷。🕵️ 10 月 19 日，安全研究者抓了个现行。GhostAction 换打法了——10 月 9 日 GitHub 把他们的恶意 workflow 按死之后，六天后他们带着第二弹回来了，往 94 个仓库里塞了个"字体木马"。 木马藏在 public/fonts/fa-solid-400.woff2 里，名字长得跟正经 Font Awesome 图标字体一模一样，里面装的却是可执行代码。触发方式更阴：.vscode/tasks.json 里配了个 "runOn": "folderOpen"，意思是你打开 VS Code 的那一秒，它就开工了，还顺手给自己装了个 cron，每五分钟打卡一次，比你还自律。 它只偷一种东西：你的家底。AWS 密钥、npm 和 PyPI 的 token、Git 凭证、K8s 凭证、SSH 私钥，连 Claude 和 Gemini 的 API 密钥都不放过，打包完走明文 HTTP 发到一个裸 IP，连加密都懒得装。 而研究人员的评价更损：这帮人"经验有限"。代码写得糙，环境变量过滤漏掉一大半密钥，同一个 IP 又钓鱼又传数据，顺着 IP 一搜，全家桶都端了。 开源社区讲了这么多年信任链，最后发现最短的那一环，是你双击打开 VS Code 的那只手。

曝光 4 · 评论 0 · 点赞 0 · 书签 0