#サプライチェーン攻撃

GhostActionが第2段 VS Codeの自動タスクと偽フォントで鍵を窃取

GitHubでワークフローを使って秘密を盗むGhostActionに、第2段が見つかりました。94のリポジトリに、VS Codeでフォルダーを開くと動く設定と、フォントに見せかけた盗みのコードが入れられています。手口、動く条件、開発者と情シスが今日確かめることを、研究者の公開から整理します。