wfx-loot 攻击：4837 个被盗 GitHub 账号在 1800+ 仓库运行 CI 密钥窃取器
先了解这件事
据 Aikido Security 披露的 wfx-loot 攻击活动，攻击者自 11 月 10 日约 12:45 UTC 起利用 4,837 个被盗 GitHub 账号探测 61,764 个仓库的写权限，植入 CI 密钥窃取器，至少在 1,806 个仓库实际运行并可能已收集到其中的密钥与云凭据；Aikido 后来将确认失窃的目标数更新为至少 1,835 个。92% 的恶意拉取请求仍处于打开状态，说明仓库所有者大多未察觉。任何打开过攻击者以 docs: dependency audit notes 为标题的测试拉取请求的账号均应视为已失陷，即使窃取器从未运行。 窃取器在 771 个仓库中以 npm postinstall 钩子形式存在，会在开发者机器执行 npm install 时运行；研究人员还发现，普通 composer install 不会触发窃取器，但在软件包的 vendor 目录内运行 npm install 则会触发。Aikido 建议仓库所有者检查是否存在 wfx-docs 分支、探测拉取请求及 workflow 运行序号缺口；确认执行过载荷的仓库应立即轮换工作流可用的全部密钥与云角色凭据。
AI 根据报道生成 · 3 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
- BleepingComputer精选wfx-loot 攻击活动入侵 4800 余个 GitHub 账户窃取云凭据
安全公司 Aikido 披露名为 wfx-loot 的攻击活动：攻击者用 4837 个被盗 GitHub 账户探测 61764 个仓库的写权限，并通过恶意 workflow 窃取密钥，至少 1835 个目标确认失窃。
- The Hacker News精选4,837 个被盗 GitHub 账号在 1,806+ 仓库运行 CI 凭据窃取器
据 Aikido Security 分析，攻击者自周二起利用 4,837 个被盗 GitHub 账号，向可写入的仓库植入 CI 凭据窃取器，至少在 1,806 个仓库运行，此前曾以 docs: dependency audit notes 为标题的拉取请求测试 61,764 个仓库。
本事件热度走势
- 可比范围当前
- 15
- 可比范围峰值
- 1611月13日 07:00
- 近 24 小时变化
- –
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。