針對內部儲存庫遭駭事故，GitHub證實為受到Nx Console的供應鏈攻擊波及

來源：https://www.ithome.com.tw/news/176069

5月20日GitHub於社群網站X透露近3,800個內部儲存庫遭駭，事故發生的源頭，是一名員工不慎安裝有問題的Visual Studio Code（VS Code）延伸套件，所以引發事故。由於駭客團體TeamPCP對TanStack發動攻擊之後，有許多開發團隊遭受波及，很容易讓人聯想這起事故也與TanStack事故有關，如今這樣的推測成真。

GitHub同日發布了另一篇部落格文章，指出該名員工安裝的惡意套件就是18.95.0版Nx Console。該公司於5月18日偵測到這名員工的裝置被入侵，當時他們就移除套件，將端點隔離，然後展開事件回應流程。由於Nx Console事故源於開發者受到TanStack攻擊活動波及，換言之，GitHub此次事故同樣可追溯至TanStack遭受攻擊。

針對這起事故可能會造成的影響，GitHub指出，這些內部儲存庫含有來自客戶的資訊，其中一種是支援過程互動內容的摘錄，但是否有資料外流，該公司並未說明，僅表示他們正在持續分析事件記錄、確認身分機密憑證是否已完成輪換，並監控基礎設施是否出現後續活動。

'

Nx Console的VS Code延伸套件被植入竊資軟體

來源：https://www.ithome.com.tw/news/176068

5月18日Nx Console的Visual Studio Code（VS Code）延伸套件rwl.angular-console傳出遭遇供應鏈攻擊，駭客在VS Code延伸套件市集上架有問題的v18.95.0。揭露此事的資安公司StepSecurity指出，一旦開發者不慎安裝，他們只要開啟VS Code的任意工作區，此延伸套件就會從特定GitHub儲存庫的提交內容取得經混淆處理的惡意酬載，檔案大小為498 KB。

此酬載是多階段憑證竊取工具，主要目的是對供應鏈投毒（supply chain poisoning），其功能是從GitHub、NPM、AWS、HashiCorp Vault、Kubernetes，以及1Password收集權杖及憑證，然後透過HTTPS、GitHub API，以及DNS隧道等3種管道洩露。值得留意的是，對於macOS作業系統的開發環境，駭客還會部署Python後門，並濫用GitHub Search API充當Dead Drop資料交換管道，藉此接收攻擊者的指令。

Nx開發團隊發布資安公告證實此事，並表示他們在VS Code延伸套件市集與Open VSX儲存庫先後發現惡意套件，兩個套件分別在上架後的18分鐘、36分鐘移除。這起事故發生的原因，就是其中一名開發者遭遇TanStack供應鏈攻擊，導致GitHub憑證外流，攻擊者得以冒充開發者的身分執行該團隊GitHub儲存庫的工作流程。該團隊將這起事故登記為CVE-2026-48027，並將危險程度評為重大等級。

對於這起事故造成的影響，Nx指出，微軟起初表示安裝惡意套件的數量有28個，Open VSX表示安裝惡意套件的數量是41個，但根據該開發團隊內部分析的結果，Nx認為VS Code用戶約下載並啟動惡意套件約有6千次，此外，也有Cursor用戶受害。

'