GoDaddy 被社工，多个加密货币网站的 DNS 被修改

这些攻击是针对全球最大的域名注册商 GoDaddy 的员工的社工诈骗造成的。这场最新的活动似乎在 11 月 13 日左右开始，对加密货币交易平台 liquid.com 进行了攻击。

网络货币挖矿服务 NiceHash 披露，其在 GoDaddy 的域名注册记录的一些设置在未经授权的情况下被更改，短暂地重定向了该网站的电子邮件和网络流量。NiceHash 冻结了所有客户资金约24小时，直到它能够核实其域名设置已被改回原始设置。

GoDaddy 承认，在“有限”数量的 GoDaddy 员工落入社交工程骗局后，“少量”客户域名被修改。

来源：krebsonsecurity

拍一拍：作为最大的域名注册商，GoDaddy 会被社工，这令人失望。

GitHub 终于修复了 Project Zero 报告的高危安全漏洞

该安全漏洞源自 GitHub Actions 中的工作流命令，它作为执行动作和 Action Runner 之间的通信渠道极易受到注入攻击。因为这会破坏依赖性代码。在 GitHub 未能在规定的 104 天内修复该问题后，谷歌于 11 月 2 日公开披露了该问题。

这给该公司带来了一定的压力，目前该漏洞已经被修复。漏洞发现者表示工作流命令的实现方式“从根本上来说是不安全的”，短期的解决方案是废止命令语法。而 GitHub 采用了这个修复方案。

来源：cnbeta

拍一拍：不是每个漏洞都能得到及时修复

僵尸网络一直在悄悄地大规模扫描互联网上不安全的 ENV 文件

威胁行为者正在寻找通常存储在 ENV 文件中的 API 令牌、密码和数据库登录信息。

ENV 文件，即环境文件，是一种配置文件，通常被开发工具使用。Docker、Node.js、Symfony 和 Django 等框架使用 ENV 文件来存储环境变量。由于它们所持有的数据的性质，ENV 文件应该始终存储在受保护的文件夹中。

根据安全公司 Greynoise 的数据，在过去的三年里，有超过 2800 个不同的 IP 地址被用来扫描 ENV 文件，在过去的一个月里，有超过 1100 个扫描器处于活跃状态。

来源：zdnet

拍一拍：和 SSH 私钥被不小心上传到 GitHub 一样，对 ENV 文件的保护也要重视。