導讀：更多：• GitHub 終於修復了 Project Zero 報告的高危安全漏洞 • 殭屍網絡一直在悄悄地大規模掃描互聯網上不安全的 ENV 文件
本文字數：1063，閱讀時長大約：1分鐘
作者：硬核老王
GoDaddy 被社工，多個加密貨幣網站的 DNS 被修改
這些攻擊是針對全球最大的域名註冊商 GoDaddy 的員工的社工詐騙造成的。這場最新的活動似乎在 11 月 13 日左右開始，對加密貨幣交易平台 liquid.com 進行了攻擊。
網絡貨幣挖礦服務 NiceHash 披露，其在 GoDaddy 的域名註冊記錄的一些設置在未經授權的情況下被更改，短暫地重定向了該網站的電子郵件和網絡流量。NiceHash 凍結了所有客戶資金約24小時，直到它能夠核實其域名設置已被改回原始設置。
GoDaddy 承認，在「有限」數量的 GoDaddy 員工落入社交工程騙局後，「少量」客戶域名被修改。
來源：krebsonsecurity
拍一拍：作為最大的域名註冊商，GoDaddy 會被社工，這令人失望。
GitHub 終於修復了 Project Zero 報告的高危安全漏洞
該安全漏洞源自 GitHub Actions 中的工作流命令，它作為執行動作和 Action Runner 之間的通信渠道極易受到注入攻擊。因為這會破壞依賴性代碼。在 GitHub 未能在規定的 104 天內修復該問題後，谷歌於 11 月 2 日公開披露了該問題。
這給該公司帶來了一定的壓力，目前該漏洞已經被修復。漏洞發現者表示工作流命令的實現方式「從根本上來說是不安全的」，短期的解決方案是廢止命令語法。而 GitHub 採用了這個修復方案。
來源：cnbeta
拍一拍：不是每個漏洞都能得到及時修復
殭屍網絡一直在悄悄地大規模掃描互聯網上不安全的 ENV 文件
威脅行為者正在尋找通常存儲在 ENV 文件中的 API 令牌、密碼和數據庫登錄信息。
ENV 文件，即環境文件，是一種配置文件，通常被開發工具使用。Docker、Node.js、Symfony 和 Django 等框架使用 ENV 文件來存儲環境變量。由於它們所持有的數據的性質，ENV 文件應該始終存儲在受保護的文件夾中。
根據安全公司 Greynoise 的數據，在過去的三年里，有超過 2800 個不同的 IP 地址被用來掃描 ENV 文件，在過去的一個月里，有超過 1100 個掃描器處於活躍狀態。
來源：zdnet
拍一拍：和 SSH 私鑰被不小心上傳到 GitHub 一樣，對 ENV 文件的保護也要重視。
