SlowMist cảnh báo dev ClawHub về lừa đảo phishing, rò rỉ logins

CISO của SlowMist cảnh báo ClawHub có nguy cơ bị tấn công qua lừa đảo và rò rỉ thông tin đăng nhập do nền tảng đang dùng cơ chế đăng nhập một lần bằng GitHub, có thể dẫn tới phát tán skills độc hại cài cửa hậu cho người dùng.

Cảnh báo được đưa ra sau sự cố sâu Sha1-Hulud từng đánh cắp lượng lớn thông tin đăng nhập GitHub của lập trình viên. Kẻ tấn công có thể lợi dụng đặc quyền GitHub bị chiếm đoạt để truy cập ClawHub và triển khai mã độc thông qua kênh phân phối skills.

Rủi ro cốt lõi: đăng nhập GitHub và chuỗi cung ứng skills

ClawHub dựa vào đăng nhập một lần bằng GitHub; nếu thông tin đăng nhập GitHub bị đánh cắp, kẻ tấn công có thể đăng nhập như một lập trình viên và phát hành skills độc hại.

23pds, Giám đốc An ninh Thông tin (CISO) của SlowMist Technology, cảnh báo các nhà phát triển ClawHub về rủi ro lừa đảo và rò rỉ thông tin đăng nhập. Bối cảnh liên quan là sâu Sha1-Hulud trước đây đã đánh cắp số lượng lớn thông tin đăng nhập GitHub của lập trình viên.

Hệ quả là kẻ tấn công có thể tận dụng đặc quyền GitHub bị chiếm đoạt để tấn công hệ sinh thái skills. Nếu quy trình kiểm duyệt và phát hành skills không chặn được mã độc, người dùng trở thành điểm nhận cuối cùng trong chuỗi cung ứng phần mềm.

Đường tấn công được cảnh báo

Chuỗi tấn công: đánh cắp thông tin đăng nhập → chiếm quyền GitHub → đăng nhập ClawHub → phát hành skills độc hại cài backdoor → người dùng tải và cài đặt → bị xâm nhập hệ thống.

Kịch bản nhấn mạnh rủi ro từ quyền truy cập hợp pháp bị chiếm đoạt: kẻ tấn công không cần phá vỡ hạ tầng ClawHub ngay từ đầu, mà lợi dụng danh tính lập trình viên để đưa mã độc vào nguồn phân phối.

Khi người dùng tải xuống và cài đặt skills chứa mã độc, backdoor có thể mở đường cho xâm nhập hệ thống. Trọng tâm của cảnh báo là ngăn rò rỉ thông tin đăng nhập và giảm khả năng kẻ tấn công lạm dụng phiên đăng nhập GitHub để phát tán mã độc.

Tuyên bố miễn trừ: Bài viết này chỉ nhằm mục đích cung cấp thông tin dưới dạng blog cá nhân, không phải là khuyến nghị đầu tư. Nhà đầu tư cần tự nghiên cứu kỹ lưỡng trước khi đưa ra quyết định và chúng tôi không chịu trách nhiệm đối với bất kỳ quyết định đầu tư nào của bạn.

Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, TinTucBitcoin.com hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.