<p>黑客已經入侵了多個全球軟件開發者依賴的流行開源項目，正在進行一場持續的網絡攻擊。</p>
<p>週二，網絡安全公司 StepSecurity 和 SafeDep 警告稱，最新一波所謂的 “供應鏈” 攻擊旨在入侵流行開源項目的開發者，並利用該訪問權限植入惡意更新，推送給下游用户。</p>
<p>根據 SafeDep 的説法，黑客接管了一名開發者的賬户，並在大約 20 分鐘內發佈了超過 630 個惡意版本，涉及 317 個軟件包。此次攻擊的目標是竊取各種服務的憑證，包括密碼管理器，以此竊取數據並繼續傳播惡意軟件。</p>
<p>在黑客入侵的包中，有阿里巴巴製作的 Antv 庫。根據 JFrog Security 的説法，在某些情況下，黑客在 GitHub 上發佈了惡意更新。</p>
<p>這波最新的攻擊是針對開源項目及其開發者的更大規模運動的一部分。研究人員將這些黑客攻擊稱為 “迷你沙赫魯德”，因為此次攻擊是在之前更大規模的黑客活動之後進行的。</p>
<p>上週，在迷你沙赫魯德攻擊的另一波攻擊中，黑客入侵了兩名 OpenAI 員工的計算機，此前他們黑入了開源庫 TanStack。OpenAI 只是眾多受害者之一。</p>

阿里巴巴

<p>黑客在一次供應鏈攻擊中侵入了多個流行的開源項目，發佈了超過 630 個惡意版本，涉及 317 個軟件包。此次攻擊旨在竊取各種服務的憑證，包括密碼管理器。值得注意的被侵入軟件包包括阿里巴巴的 Antv 庫。這波攻擊被稱為 “迷你沙丘”，是繼之前的黑客活動之後進行的，並且還通過 TanStack 庫針對了 OpenAI 的員工</p>

<p>Hackers have compromised several popular open source projects relied on by software developers all over the world in an ongoing cyberattack.</p>
<div class="lb-trans"><p>黑客已經入侵了多個全球軟件開發者依賴的流行開源項目，正在進行一場持續的網絡攻擊。</p>
</div><p>On Tuesday, cybersecurity firms StepSecurity and SafeDep warned of the latest wave of so-called “supply chain” attacks, which aim to compromise developers of popular open source projects and use that access to plant malicious updates that are pushed to users downstream.</p>
<div class="lb-trans"><p>週二，網絡安全公司 StepSecurity 和 SafeDep 警告稱，最新一波所謂的 “供應鏈” 攻擊旨在入侵流行開源項目的開發者，並利用該訪問權限植入惡意更新，推送給下游用户。</p>
</div><p>According to SafeDep, hackers took over the account of one developer and released over 630 malicious versions across 317 packages in about 20 minutes. The goal of the attack is to steal credentials for various services, including password managers, as a way to steal data and continue spreading the malware.</p>
<div class="lb-trans"><p>根據 SafeDep 的説法，黑客接管了一名開發者的賬户，並在大約 20 分鐘內發佈了超過 630 個惡意版本，涉及 317 個軟件包。此次攻擊的目標是竊取各種服務的憑證，包括密碼管理器，以此竊取數據並繼續傳播惡意軟件。</p>
</div><p>Among the packages that the hackers compromised there’s Antv, a library made by Alibaba. In some cases, the hackers published malicious updates on GitHub, according to JFrog Security.</p>
<div class="lb-trans"><p>在黑客入侵的包中，有阿里巴巴製作的 Antv 庫。根據 JFrog Security 的説法，在某些情況下，黑客在 GitHub 上發佈了惡意更新。</p>
</div><p>This latest wave of attacks is part of a wider campaign targeting open source projects and the developers who use the code for their own projects. Researchers have dubbed the hacks “Mini Shai-Hulud,” after the attack followed a previous, more expansive hacking campaign.</p>
<div class="lb-trans"><p>這波最新的攻擊是針對開源項目及其開發者的更大規模運動的一部分。研究人員將這些黑客攻擊稱為 “迷你沙赫魯德”，因為此次攻擊是在之前更大規模的黑客活動之後進行的。</p>
</div><p>Last week, in another wave of attacks as part of the Mini Shai-Hulud attacks, hackers compromised the computers of two OpenAI employees after hacking the open source library TanStack. OpenAI was just one of several victims.</p>
<div class="lb-trans"><p>上週，在迷你沙赫魯德攻擊的另一波攻擊中，黑客入侵了兩名 OpenAI 員工的計算機，此前他們黑入了開源庫 TanStack。OpenAI 只是眾多受害者之一。</p>
</div>

Hackers have compromised dozens of popular open source packages in an ongoing supply chain attack

- 黑客攻擊多個全球開發者依賴的開源項目。  
- 攻擊者通過入侵開發者賬户，發佈了 630 個惡意版本。  
- 此次攻擊目標是竊取憑據並傳播惡意軟件。

TechCrunch

黑客在持續進行的供應鏈攻擊中已經入侵了數十個流行的開源軟件包