ClawHub 开发者面临凭证泄露威胁

慢雾科技首席信息安全官23pds于3月13日发布安全警示，指出ClawHub平台存在潜在的钓鱼攻击与凭据泄露风险。当前该平台依赖开发者通过GitHub一键登录，而历史数据显示，曾有名为Sha1-Hulud的蠕虫利用此机制窃取大量开发者的GitHub账户信息。

攻击路径分析：从凭据窃取到恶意代码植入

攻击者可能通过已获取的开发者凭证，获得对GitHub账户的控制权，进而以开发者身份登录ClawHub系统。一旦得手，攻击者可发布包含后门的恶意Skills，诱导用户下载并安装。此类行为将直接导致用户终端执行未经验证的恶意代码，引发系统层面的安全隐患。 建议所有开发者立即检查账户安全性，启用双重认证，并避免在非可信环境中使用开发账号进行登录操作。