避免了灾难，随着Sawfish网络钓鱼活动设置警报铃响
DeepSource是印度自动代码分析服务的提供商，在得知员工的GitHub帐户受到损害后，已旋转所有用户令牌，客户端秘密和私钥。
在一个安全咨询DeepSource联合创始人Jai Pradeesh昨天出版，他说，GitHub安全团队于7月11日与该公司联系，消息称他们正在跟踪与DeepSource Github应用程序有关的潜在恶意活动。
Pradeesh解释说：“ GitHub安全团队从6月中旬开始观察到许多不同的DeepSource用户，从不寻常的IP地址观察到大量请求，这是异常的。”
“到UTC上午7点，我们已经旋转了所有用户令牌，客户端秘密和私钥。由于我们不知道攻击的起源，因此我们还旋转了有能力使用生产系统的员工的所有凭证和钥匙。”
锯鱼裸露的牙齿
在调查了该问题之后，GitHub安全团队于7月16日确定了妥协的来源。
Pradeesh说：“我们员工的GitHub帐户之一被针对GitHub用户的Sawfish网络钓鱼活动损害，并且攻击者获得了DeepSource Github App的凭据。”
Sawfish于今年早些时候发现，是一项矛盾的运动活动，专门针对GitHub用户。
正如所解释的咨询Sawfish活动于4月发布，涉及电子邮件，声称在GitHub用户帐户中的存储库或设置已更改，或者已检测到未经授权的活动。
GitHub安全团队警告说：“该消息继续邀请用户单击恶意链接以查看更改。”
“单击链接将用户带到网络钓鱼模仿GitHub登录页面的站点，该页面窃取了输入的任何凭据。”
调查完成
经过内部调查，DeepSource表示尚未确定任何异常的违规或行为，并得出结论，该公司的基础设施尚未受到损害。
Pradeesh说：“我们一直非常注意确保DeepSource满足用户的安全需求。”
“尽管在这种情况下，DeepSource应用程序本身并没有遭受弱点，但我们正在采取上面列出的步骤，以确保我们的应用程序，团队和您的数据的安全性。
“我们很感激github对这个问题的快速回应。”
DeepSource成立于2018年12月，并获得了众多风险投资组织的支持。
