2026-01-26 02:41:21 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文汇总近期网络安全热点，通报境外恶意IP与木马攻击，分析针对阿根廷司法的RustRAT及GitHub传播的WebRAT。内容涵盖针对加密货币的GoBruteforcer僵尸网络、TP-Link与Oracle严重漏洞、CloudflareWAF绕过及AWSCodeBuild供应链风险，建议及时修补与排查。 综合评分： 82 文章分类： 威胁情报,漏洞预警,恶意软件,供应链安全

cover_image

近期热点攻击国家APT 网空事件

原创

ZM ZM

暗镜

2026年1月23日 12:02 北京

1、重点防范境外恶意网址和恶意IP

中国国家网络与信息安全信息通报中心通过支撑单位发现一批境外恶意网址和恶意IP，境外黑客组织利用这些网址和IP持续对中国和其他国家发起网络攻击。这些恶意网址和IP都与特定木马程序或木马程序控制端密切关联，网络攻击类型包括建立僵尸网络、后门利用等，对中国国内联网单位和互联网用户构成重大威胁。相关恶意网址和恶意IP归属地主要涉及：美国、加拿大、英国、德国、荷兰、乌克兰、巴西、越南。主要情况如下：

（一）恶意地址：telnet.icealeximino.live

关联IP地址：51.81.255.132

归属地：美国/俄勒冈州/波特兰

威胁类型：僵尸网络

病毒家族：V3G4Bot

描述：这是一种针对Linux和IoT设备的僵尸网络，属于Mirai僵尸网络的一个变体，借助多个N day漏洞以及弱口令暴破进行传播。样本的敏感字符串资源经过XOR异或加密，通过与C2服务器建立通信，接收攻击者下发的指令来对指定目标发起DDoS攻击，造成大面积网络瘫痪、网站或在线服务无法访问。

（二）恶意地址：nj5056ja.duckdns.org

关联IP地址：104.250.167.52

归属地：加拿大/魁北克/蒙特利尔

威胁类型：后门

病毒家族：NjRAT

描述：该后门是一种由 C#编写的远程访问木马，具备屏幕监控、键盘记录、密码窃取、文件管理（上传、下载、删除、重命名文件）、进程管理（启动或终止进程）、远程激活摄像头、交互式 Shell（远程命令执行）、访问特定 URL 及其它多种恶意控制功能，通常通过移动存储介质感染、网络钓鱼邮件或恶意链接进行传播，用于非法监控、数据窃取和远程控制受害者计算机。

（三）恶意地址：dinero26.duckdns.org

关联IP地址：192.159.99.171

归属地：英国/英格兰/伦敦

威胁类型：后门

病毒家族：RemCos

描述：RemCos是一款远程管理工具，发布于2016年。最新版本的RemCos能够执行多种恶意活动，包括键盘记录、截取屏幕截图和窃取密码。攻击者可以利用受感染系统的后门访问权限收集敏感信息并远程控制系统。

（四）恶意地址：coomm.servebbs.net

关联IP地址：185.196.20.150

归属地：德国/巴伐利亚邦/纽伦堡

威胁类型：后门

病毒家族：AsyncRAT

描述：这是一种后门木马，采用C#语言编写，主要功能包括屏幕监控、键盘记录、密码获取、文件窃取、进程管理、开关摄像头、交互式SHELL，以及访问特定URL等。其主要通过移动介质、网络钓鱼等方式进行传播，现已发现多个关联变种，部分变种主要针对民生领域的联网系统。

（五）恶意地址：sedef3.duckdns.org

关联IP地址：188.89.182.68

归属地：荷兰

威胁类型：后门

病毒家族：Xworm

描述：这是一种.NET编译的后门木马，使用多种持久性和防御规避技术。收集并发送系统详细信息到C&C服务器并接收指令，功能包括键盘记录、屏幕捕获、自动更新、自毁、运行脚本、勒索软件操作、麦克风操作、摄像头监控，打开特定URL，监控活跃的窗口，进程管理，剪切板管理，远程shell执行、DDos攻击，获取地址位置，锁定屏幕，密码窃取、安装Ngrok、HVNC、隐藏RDP连接等。

（六）恶意地址：103.136.41.159

归属地：荷兰/南荷兰省/纳尔德韦克

威胁类型：僵尸网络

病毒家族：Mirai

描述：这是一种Linux僵尸网络病毒，通过网络下载、漏洞利用、Telnet和SSH暴力破解等方式进行扩散，入侵成功后可对目标网络系统发起分布式拒绝服务（DDoS）攻击。

（七）恶意地址：151.243.109.160

归属地：荷兰/北布拉班特省/艾恩德霍芬

威胁类型：僵尸网络

病毒家族：Gafgyt

描述：这是一种基于因特网中继聊天（IRC）协议的物联网僵尸网络病毒，主要通过漏洞利用和内置的用户名、密码字典进行Telnet和SSH暴力破解等方式进行扩散传播。可对网络设备进行扫描，攻击网络摄像机、路由器等IoT设备，攻击成功后，利用僵尸程序形成僵尸网络，对目标网络系统发起分布式拒绝服务（DDoS）攻击，可能造成大面积网络瘫痪。

（八）恶意地址：mrsus.ddns.net

关联IP地址：46.151.182.4

归属地：乌克兰

威胁类型：僵尸网络

病毒家族：CondiBot

描述：这是一种僵尸网络，利用TP-Link Archer AX21漏洞CVE-2023-1389进行传播。攻击者通过Telegram频道@zxcr9999来推广、销售Condi以及其他僵尸网络的DDoS服务和源代码。僵尸程序可通过接收C2服务器下发的cmd指令，执行发起DDoS攻击、更新、终止程序等不同的操作。Condi支持的DDoS攻击向量包括：attack_tcp_syn、attack_tcp_ack、attack_tcp_socket、attack_tcp_thread、attack_tcp_bypass、attack_udp_plain、attack_udp_thread、attack_udp_smart。

（九）恶意地址：xerecanega.ddns.net

关联IP地址：186.192.123.40

归属地：巴西/戈亚斯州/戈亚内西亚

威胁类型：后门

病毒家族：NjRAT

（十）恶意地址：cvawrs.duckdns.org

关联IP地址：160.187.246.23

归属地：越南/清化省

威胁类型：僵尸网络

病毒家族：SoftBot

描述：这是一种可在x86、arm等多个平台上运行的僵尸网络，因bot模块名为softbot.{arch}，故命名为SoftBot。该家族样本入侵成功后会植入bot模块以构建僵尸网络，可向特定网络目标发起10种形式的分布式拒绝服务（DDoS）攻击。此外，该样本运行后多会输出字符串“im in deep sorrow”。

2、Rust RAT渗透阿根廷司法系统

一项针对阿根廷司法系统核心的极其复杂的网络间谍活动被发现。Seqrite Labs 的研究人员将这项活动命名为“隐蔽访问行动”（Operation Covert Access），该活动利用一种基于 Rust 语言的隐蔽远程访问木马 (RAT) 渗透司法机构，并使用逼真到连法律专业人士都可能上当的诱饵文件。

攻击者通过包含 ZIP 压缩文件的鱼叉式网络钓鱼邮件发起感染链。受害者打开压缩文件后，会发现看似重要的司法通知。

根据Seqrite Labs的分析，这份诱饵文件并非通用模板，而是高质量的伪造品。“此次行动中使用的诱饵文件是一份看似合法的阿根廷联邦法院决议，以正式的法律西班牙语撰写。”

该文件援引了真实的司法机构，特别是“第二刑事和惩戒口头法庭”，并讨论了诸如预防性拘留审查和有条件释放等敏感的法律问题。报告指出，“其结构、术语和格式与真实的法院判决高度吻合，显著提高了其在法律和司法专业人士中的可信度”。

当受害者查看法院判决书时，一个复杂的感染过程正在后台运行。攻击始于用户点击伪装成 PDF 的恶意 LNK 文件。这将触发一个隐藏的 PowerShell 命令，该命令会连接到 GitHub 代码库以下载下一阶段的有效载荷。

攻击者滥用合法基础设施来掩盖其活动。“批处理文件会建立与GitHub 托管 URL 的连接，并检索第二阶段的有效载荷”，从而使恶意软件能够混入正常的网络流量中。

此次攻击的核心是一个用 Rust 语言编写的定制远程访问木马(RAT)。Rust 是一种编程语言，因其高性能和强大的规避能力而日益受到网络犯罪分子的青睐。为了避免被检测到，该恶意软件会将自身重命名为 msedge_proxy.exe，并隐藏在 Microsoft Edge 用户数据目录中。

一旦激活，远程访问木马（RAT）会执行广泛的检查，以确保自身未被监视。它会扫描 VMware 和 VirtualBox 等虚拟化软件，并检查 Wireshark 或 Fiddler 等分析工具。“如果存在任何此类路径——通常是与虚拟机、分析工具或沙箱相关的目录或文件——则条件成立，恶意软件会立即终止相关进程。”

这款远程访问木马的功能令人担忧。它支持模块化命令集，允许攻击者保持持久性、窃取文件，甚至提升权限。更令人不安的是，该恶意软件包含加密命令，这表明它可能同时用于间谍活动和勒索软件攻击。

该恶意软件接收类似 _ENCRYPT_:_DECRYPT_ 的 C2 命令……它会检查 ransomware.enc（加密的 DLL）和 ransomware.key，然后使用提供的密钥解密 DLL”。

这种功能意味着攻击者可以很容易地从窃取敏感的法律数据转向锁定整个网络。攻击者将高度逼真的社会工程与先进的技术规避相结合，创造了一种强大的工具，可以用来入侵高价值目标。

正如 Seqrite Labs 在其报告中总结的那样，“隐蔽访问行动表明，如何利用以司法为主题的鱼叉式网络钓鱼，结合武器化的 LNK 文件和隐蔽的远程访问木马(RAT)，在高度信任的机构环境中建立长期访问权限”。

3、WebRAT恶意软件借GitHub伪造漏洞利用程序传播

WebRAT恶意软件目前正通过GitHub代码仓库进行传播，这些仓库谎称存放着近期披露漏洞的概念验证（PoC）利用程序。

这款兼具后门功能与信息窃取能力的恶意软件于2025年年初出现，此前的传播渠道为盗版软件，以及《罗布乐思》《反恐精英》《腐蚀》等游戏的作弊程序。

据报告显示，WebRAT能够窃取Steam、Discord、Telegram等平台的账户凭证，以及加密货币钱包数据，同时还可通过摄像头监视受害者，并截取设备屏幕画面。

至少从去年9月起，该恶意软件的运营者开始借助精心构造的GitHub代码仓库投放病毒，这些仓库宣称提供多款曾被媒体报道的漏洞利用程序，涉及的漏洞包括：

CVE-2025-59295：Windows系统MSHTML/IE组件中存在的堆缓冲区溢出漏洞，攻击者可通过网络发送特制数据，实现任意代码执行。
CVE-2025-10294：WordPress无密码登录插件OwnID中的高危身份认证绕过漏洞。由于对共享密钥的验证机制存在缺陷，未授权攻击者无需凭证即可登录任意用户账户，包括管理员账户。
CVE-2025-59230：Windows远程访问连接管理器（RasMan）服务中的权限提升漏洞。本地已认证攻击者可利用该服务的访问控制缺陷，在受影响的Windows设备上将自身权限提升至系统权限（SYSTEM）。

该恶意软件具备多种持久化驻留手段，包括修改Windows注册表、创建计划任务，以及将自身注入随机的系统目录中。

研究人员指出，这些伪造的漏洞利用程序以加密压缩包形式分发，压缩包内包含四类文件：文件名即为解压密码的空文件、用作伪装的损坏诱饵动态链接库文件、攻击执行链中所需的批处理文件，以及名rasmanesc.exe的主投放器程序。

分析显示，这款投放器会先提升自身权限、禁用Windows Defender杀毒软件，再从硬编码的网络地址下载并执行WebRAT恶意软件。

利用GitHub上的伪造漏洞利用程序诱骗不明真相的用户安装恶意软件，并非新出现的攻击手段，相关案例在过去已有大量记载。就在近期，威胁者还曾通过在GitHub上推广伪造的LDAPNightmare漏洞利用程序，传播信息窃取类恶意软件。

目前，卡巴斯基发现的所有与本次WebRAT攻击活动相关的恶意GitHub代码仓库均已被移除。但开发者及网络安全爱好者仍需警惕所使用资源的来源，因为威胁者可能会更换发布者名称，再次上传新的诱饵仓库。因此人们在测试来自非可信来源的漏洞利用程序或代码时，务必在可控的隔离环境中运行。

4、GoBruteforcer僵尸网络利用弱凭证攻击加密货币项目数据库

新一波GoBruteforcer攻击瞄准了加密货币和区块链项目的数据库，将其纳入僵尸网络，该网络能够对Linux服务器上的FTP、MySQL、PostgreSQL和phpMyAdmin等服务进行用户密码暴力破解。

“当前这一波攻击活动由两个因素驱动：大量重复使用人工智能生成的服务器部署示例，这些示例传播了常见的用户名和脆弱的默认设置；以及XAMPP等遗留Web堆栈的持续存在，这些堆栈暴露了FTP和管理界面，且安全加固程度极低。”Check Point Research在上周发布的分析报告中表示。

GoBruteforcer最初由Palo Alto Networks Unit 42于2023年3月记录，其能够针对运行x86、x64和ARM架构的类Unix平台，部署一个互联网中继聊天僵尸程序和一个用于远程访问的Web Shell，同时获取暴力破解模块以扫描易受攻击的系统并扩大僵尸网络的覆盖范围。

Lumen Technologies的Black Lotus Labs团队在2025年9月的一份后续报告中发现，由另一个名为SystemBC的恶意软件家族控制的大量受感染僵尸机器，也属于GoBruteforcer僵尸网络的一部分。

Check Point表示，他们在2025年年中识别出一个更复杂的Golang恶意软件版本，该版本包含一个用跨平台编程语言重写的、经过深度混淆的IRC僵尸程序，改进了持久化机制、进程伪装技术和动态凭证列表。

凭证列表包含了可以接受远程登录的常见用户名和密码组合（例如：myuser:Abcd@123 或 appeaser:admin123456）。选择这些名称并非偶然，因为它们曾在数据库教程和供应商文档中使用，而这些资料都被用于训练大型语言模型，导致模型生成的代码片段带有相同的默认用户名。

列表中的其他一些用户名则专注于加密货币（例如：cryptouser、appcrypto、crypto_app 和 crypto）或针对phpMyAdmin面板（例如：root、wordpress 和 wpuser）。

“攻击者在每次活动中重复使用一个稳定的小型密码池，从该池中刷新每个任务的列表，并每周数次轮换用户名和特定领域的补充内容，以追求不同的目标，”Check Point称。”与其他服务不同，FTP暴力破解使用的是硬编码在破解程序二进制文件中的一小套凭证。这套内置的凭证指向网络托管堆栈和默认服务账户。”

根据Check Point观察到的活动，攻击者利用运行XAMPP的服务器上暴露在互联网的FTP服务作为初始入侵载体，上传一个PHP Web Shell，然后使用基于系统架构的Shell脚本来下载并执行更新版的IRC僵尸程序。一旦主机被成功感染，它可以用于三种不同的用途：

运行暴力破解组件，尝试对互联网上的FTP、MySQL、Postgres和phpMyAdmin进行密码登录。

托管并向其他被入侵的系统分发有效负载，或者

托管IRC风格的控制端点，或充当备用命令与控制（C2）服务器以增强弹性。

对该攻击活动的进一步分析确定，其中一台被入侵的主机被用来部署一个模块，该模块遍历TRON区块链地址列表，并使用tronscanapi[.]com 服务查询余额，以识别资金非零的账户。这表明了针对区块链项目的协同努力。

“GoBruteforcer例证了一个更广泛且持久的问题：暴露的基础设施、脆弱的凭证和日益自动化的工具的组合，”Check Point表示。”虽然该僵尸网络在技术上相对简单，但其运营者受益于大量在线且配置不当的服务。”

这一披露正值GreyNoise透露，威胁行为者正在系统地扫描互联网，寻找可能提供对商业LLM服务访问权限的配置不当的代理服务器。

在这两个攻击活动中，有一个在2025年10月至2026年1月期间，利用了服务器端请求伪造（SSRF）漏洞，针对Ollama的模型拉取功能和Twilio SMS webhook集成。基于对ProjectDiscovery OAST基础设施的使用，推测该活动可能源于安全研究人员或漏洞赏金猎人。

第二组活动始于2025年12月28日，据评估是一次大规模枚举尝试，旨在识别与阿里巴巴、Anthropic、DeepSeek、Google、Meta、Mistral、OpenAI和xAI相关的暴露或配置不当的LLM端点。扫描源自IP地址 45.88.186[.]70 和 204.76.203[.]125。

“从2025年12月28日开始，两个IP地址启动了对超过73个LLM模型端点的系统性探测，”该威胁情报公司称。”在十一天内，他们生成了80,469个会话——这是对可能泄露商业API访问权限的配置不当代理服务器进行的系统性侦察。”

5、TP-Link VIGI摄像头存在严重缺陷，导致监控系统被远程控制

TP-Link 修复了一个高危漏洞，漏洞编号为 CVE-2026-0629（CVSS 评分 8.7），该漏洞影响超过 32 款 VIGI C 和 VIGI InSight 摄像头型号。攻击者利用该漏洞，通过滥用密码恢复功能绕过本地网络的身份验证，重置管理员密码，从而完全控制摄像头。

该安全公告指出：“VIGI摄像机本地Web界面密码恢复功能中的身份验证绕过漏洞允许局域网攻击者通过操纵客户端状态，在未经验证的情况下重置管理员密码。攻击者可以获得设备的完全管理权限，从而危及设备配置和网络安全。”

TP-Link 的 VIGI 摄像头是 TP-Link 在其 VIGI 产品线下生产的专业视频监控 (CCTV) 摄像头，主要面向企业用户，而非家庭消费者。

Redinent Innovations公司的研究员Arko Dhar报告了这一漏洞。

这位研究人员告诉《安全周刊》，攻击者可以远程利用这个漏洞，而且在2025年10月，他发现了超过2500台暴露在互联网上的易受攻击的摄像头。他指出，他只检查了一种型号，因此实际受影响的设备数量可能要高得多。

TP-Link VIGI 摄像头被黑客入侵可能会泄露实时和录制的视频，导致间谍活动和物理入侵，攻击者可以进入企业网络，建立用于 DDoS 攻击的僵尸网络，篡改证据，扰乱运营，并因侵犯隐私而造成法律和监管风险。

6、Oracle Fusion Middleware中发现CVSS 10缺陷

Oracle 在2026 年伊始便进行了大规模的安全升级，发布了今年的首个关键补丁更新 (CPU)，以应对一系列安全漏洞。其中最主要的漏洞是 Oracle Fusion Middleware 中的一个最高级别漏洞，该漏洞可能允许攻击者在无需任何密码的情况下完全控制受影响的服务器。

该漏洞编号为 CVE-2026-21962，CVSS 评分高达 10.0，实属罕见且令人担忧。它会影响广泛部署的 Oracle HTTP Server 和 WebLogic Server Proxy Plug-in，这两个关键组件用于将 Web 流量连接到后端应用程序。10.0分通常表示该漏洞易于利用，无需身份验证，且后果极其严重。此漏洞完全符合这些特征。

根据该安全公告，此漏洞“极易被利用”，未经身份验证的攻击者只需通过HTTP网络访问权限即可入侵系统。这意味着黑客无需窃取凭据或诱骗员工点击链接，只需向服务器发送恶意请求即可。

攻击成功的后果不堪设想。该漏洞允许未经授权的人员创建、删除或修改关键数据，实际上等于将控制权拱手让给了攻击者。此外，该安全公告指出漏洞存在“范围变更”，这意味着针对该特定组件的攻击可能会“对其他产品造成重大影响”，从而使安全漏洞蔓延至企业基础设施的其他部分。

运行 Oracle Fusion Middleware 的管理员应立即对其环境进行以下版本审核：

·Oracle HTTP Server & WebLogic Server Proxy Plug-in (Apache): 版本 12.2.1.4.0、14.1.1.0.0 和 14.1.2.0.0。

·WebLogic Server Proxy Plug-in for IIS: 仅限版本12.2.1.4.0。

这个严重漏洞只是Oracle在2026年1月发布的更新中修复的158个独特的CVE漏洞之一。此次大规模补丁发布包含337个安全更新，涵盖30个不同的产品系列。

虽然像 CVE-2026-21962 这样的严重漏洞只占更新总量的 8%，但高危补丁的数量之多（45.7%）表明，防御者需要保护的攻击面非常广泛。

依赖 Oracle 网络基础设施的组织应立即应用 2026 年 1 月的关键补丁更新，以免此严重漏洞被恶意利用。

7、Cloudflare修复了ACME验证漏洞，该漏洞允许绕过WAF访问源服务器

Cloudflare 已修复影响其自动证书管理环境 ( ACME ) 验证逻辑的安全漏洞，该漏洞使得绕过安全控制和访问源服务器成为可能。

“漏洞根源在于我们边缘网络处理发往 ACME HTTP-01 挑战路径 (/.well-known/acme-challenge/*)的请求的方式，”网络基础设施公司的 Hrushikesh Deshpande、Andrew Mitchell 和 Leland Garofalo 表示。

这家网络基础设施公司表示，他们没有发现任何证据表明该漏洞曾被恶意利用。

ACME 是一种通信协议（RFC 8555），它能够自动颁发、续订和吊销 SSL/TLS 证书。证书颁发机构 (CA) 为网站提供的每个证书都会通过挑战进行验证，以证明域名所有权。

此过程通常使用 ACME 客户端（例如Certbot）来实现，该客户端通过HTTP-01（或 DNS-01）质询来验证域名所有权并管理证书生命周期。HTTP-01 质询会检查位于 Web 服务器“https:///.well-known/acme-challenge/”的验证令牌和密钥指纹，并通过 HTTP 端口 80 进行通信。

CA 的服务器会向该 URL 发送 HTTP GET 请求以检索文件。验证成功后，证书将被颁发，CA 会将 ACME 帐户（即其服务器上的注册实体）标记为有权管理该特定域名。

如果该挑战来自 Cloudflare 管理的证书订单，则 Cloudflare 将按照上述路径响应，并将 CA 提供的令牌提供给调用方。但如果该挑战与 Cloudflare 管理的订单无关，则请求将被路由到客户源站，该源站可能使用不同的系统进行域名验证。

这样做是因为这些特性可能会干扰 CA 验证令牌值的能力，并导致自动证书订购和续订失败。但是，如果使用的令牌与不同的区域关联，并且并非由 Cloudflare 直接管理，则请求将被允许继续发送到客户源服务器，而无需 WAF 规则集进行进一步处理。

FearsOff 的创始人兼首席执行官 Kirill Firsov 表示，恶意用户可以利用此漏洞获取确定性的、长期有效的令牌，并访问Cloudflare 所有主机上的源服务器上的敏感文件，从而打开侦察之门。

Cloudflare 通过代码更改解决了该漏洞，该更改仅在请求与该主机名的有效 ACME HTTP-01 质询令牌匹配时才提供响应并禁用 WAF 功能。

8、AWS CodeBuild配置错误使GitHub代码库面临潜在的供应链攻击风险

Amazon Web Services (AWS)CodeBuild的一个严重配置错误可能导致云服务提供商自己的 GitHub 存储库（包括其 AWS JavaScript SDK）被完全接管，从而使每个 AWS 环境都面临风险。

该漏洞被云安全公司 Wiz 命名为CodeBreach。AWS在 2025 年 8 月 25 日负责任地披露该漏洞后，于2025 年 9 月修复了该问题。

研究人员 Yuval Avrahami 和 Nir Ohfeld 在一份与 The Hacker News 分享的报告中表示：“通过利用CodeBreach 漏洞，攻击者可以注入恶意代码，从而发起平台范围的入侵，这不仅可能影响无数依赖于 SDK 的应用程序，还可能影响控制台本身，从而威胁到每个 AWS 账户。”

Wiz 指出，该缺陷是持续集成 (CI) 管道中的一个弱点造成的，该弱点可能使未经身份验证的攻击者能够入侵构建环境，泄露 GitHub 管理员令牌等特权凭据，然后使用这些凭据将恶意更改推送到受感染的存储库，从而为供应链攻击创造途径。

换句话说，这个问题破坏了AWS 引入的Webhook 过滤器，这些过滤器旨在确保只有特定事件才会触发 CI 构建。例如，AWS CodeBuild 可以配置为仅当代码更改提交到特定分支，或者 GitHub 或 GitHub Enterprise Server 帐户 ID（也称为 ACTOR_ID 或 actor ID）与正则表达式模式匹配时才触发构建。这些过滤器用于防止不受信任的拉取请求。

此次配置错误影响了以下由 AWS 管理的开源 GitHub 存储库，这些存储库配置为在收到拉取请求时运行构建 –

oaws-sdk-js-v3

oaws-lc

o亚马逊 Corretto 加密提供商

oawslabs/开放数据注册表

这四个项目都实现了 ACTOR_ID 过滤器，但它们存在一个“致命缺陷”：它们缺少两个字符——起始符 ^ 和结束符 $——这两个字符是生成精确正则表达式 (regex) 匹配所必需的。因此，该正则表达式模式允许任何 GitHub 用户 ID（只要是已批准 ID 的超字符串，例如 755743）绕过过滤器并触发构建。

由于 GitHub 按顺序分配数字用户 ID，Wiz 表示，他们能够预测新的用户 ID（目前为 9 位数）大约每五天就会“超越”一位受信任维护者的六位数 ID。这一洞察，结合使用GitHub Apps来自动化创建应用（进而创建一个相应的机器人用户），使得通过触发数百个新的机器人用户注册来生成目标 ID（例如 226755743）成为可能。

有了攻击者 ID，攻击者现在可以触发构建并获取 aws-sdk-js-v3 CodeBuild 项目的 GitHub 凭证，即属于 aws-sdk-js-automation 用户的个人访问令牌 (PAT)，该用户对该存储库拥有完全的管理权限。

攻击者可以利用这种提升的访问权限，直接将代码推送到主分支，批准拉取请求，并窃取存储库的机密信息，最终为供应链攻击铺平道路。

AWS在今天发布的一份公告中表示： “上述存储库为 AWS CodeBuild webhook 过滤器配置的正则表达式旨在限制受信任的参与者 ID，但这些正则表达式不足，导致可预测地获取的参与者 ID 能够获得受影响存储库的管理权限。”

“我们可以确认，这些是这些存储库的 webhook actor ID 过滤器中特定于项目的配置错误，而不是 CodeBuild 服务本身的问题。”

亚马逊还表示，已修复已发现的问题，并实施了额外的缓解措施，例如凭证轮换以及采取措施保护包含 GitHub 令牌或内存中任何其他凭证的构建流程。亚马逊进一步强调，没有发现任何证据表明 CodeBreach 漏洞已被实际利用。

为了降低此类风险，必须确保不受信任的贡献不会触发特权 CI/CD 流水线，方法是启用新的Pull Request Comment Approval构建门，使用CodeBuild 托管的运行器通过 GitHub 工作流管理构建触发器，确保 webhook 过滤器中的正则表达式模式已锚定，为每个 CodeBuild 项目生成唯一的 PAT，将 PAT 的权限限制为所需的最低权限，并考虑使用专用的非特权 GitHub 帐户进行 CodeBuild 集成。

Wiz 的研究人员指出：“这个漏洞是攻击者为何瞄准 CI/CD 环境的典型案例：一个不易察觉的细微缺陷，却能被利用造成巨大影响。复杂性、不受信任的数据以及特权凭证的结合，为无需事先访问即可发动高影响攻击创造了完美的条件。”

这并非 CI/CD 流水线安全首次受到关注。去年，Sysdig 的一项研究详细阐述了如何利用与pull_request_target 触发器关联的不安全 GitHub Actions 工作流，通过从 fork 发起的单个 pull request 泄露特权GITHUB_TOKEN，从而未经授权访问数十个开源项目。

Orca Security 在 2025 年 9 月发布的一份类似的两部分分析报告发现，谷歌、微软、英伟达和其他财富 500 强公司的项目中存在易受攻击的pull_request_target工作流，攻击者可以利用这些漏洞运行任意代码、窃取敏感信息，并将恶意代码或依赖项推送到受信任的分支。这种现象被称为 pull_request_nightmare（pull_request_nightmare）。

安全研究员 Roi Nisimi 指出：“通过滥用pull_request_target 触发的错误配置的工作流，攻击者可以从不受信任的派生拉取请求升级到在 GitHub 托管的甚至自托管的运行器上执行远程代码 (RCE)。

“使用 pull_request_target 的 GitHub Actions 工作流绝不应该在未进行适当验证的情况下检出不受信任的代码。一旦检出，它们就面临完全被攻破的风险

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：暗镜 ZM ZM《近期热点攻击国家APT 网空事件》