glassworm-hunter

glassworm-hunter あなたのマシン上で GlassWorm サプライチェーン攻撃のペイロードを検出します。VS Code 拡張機能、npm パッケージ、Python パッケージ、git リポジトリをスキャンします。 このスキャナーは攻撃手法そのもの を検出します。すなわち、不可視の Unicode バリエーションセレクターペイロード、GlassWorm デコーダーパターン、C2 インジケーター、認証情報収集コードなどです。 インストール pip install glassworm-hunter または pipx を使用: pipx install...

Android-Projector-C2-Malware

AndroidプロジェクターにプリインストールされたC2インフラストラクチャとRATペイロード 技術分析レポート — セキュリティリサーチ 影響を受けるデバイス: Nonete（例：Model HY260Pro）などプロジェクターブランドの複数のAndroidプロジェクター（Magcubic、Hotack、Huyukangなど、これらの企業が類似モデルを流通させており、それを裏付ける兆候があるため、おそらく同社の複数のプロジェクターも該当） チップセットプラットフォーム: Allwinner H713 / sun50iw12p1 —...

isms-builder

ISMS Builder セルフホスト型情報セキュリティマネジメントシステム — オープンソース、クラウド不要 📖 Wiki — Docker イメージの使用と 環境変数、アーキテクチャとモジュール、FAQ、コントリビューション DE/EN ⚠️ セキュリティ警告: マルウェアを配布する偽リポジトリとコピー ISMS Builder にはパッケージ化された「リリース」、インストーラー、ダウンロード可能な ZIP ファイルはありません — 唯一の正規ソースはこのリポジトリであり、GitHub からプレーンなソースコードとして 直接クローンまたはダウンロードしたものです。少なくとも 1...

supply-chain-monitor

サプライチェーンモニター 上位のPyPI およびnpm パッケージのサプライチェーン侵害を自動監視します。両方のレジストリをポーリングして新しいリリースを取得し、各リリースを以前のバージョンと差分比較し、LLM（Cursor Agent CLI経由）を使用して差分を良性 または悪意 に分類します。悪意のある結果はSlackアラートをトリガーします。 両エコシステムはデフォルトで監視されます。一方を無効にするには--no-pypiまたは--no-npmを使用します。 仕組み 各エコシステムは独自のポーリングスレッドで実行されますが、分析とアラートのパイプラインを共有します。 ┌─── Py...

guac

GUAC: Graph for Understanding Artifact Composition Note: GUAC is under active development - if you are interested in contributing, please look at contributor guide. GUAC is an OpenSSF incubating project under the Supply Chain Integrity WG. Graph for Understanding Artifact Composition GUAC...

guac

GUAC: アーティファクト構成を理解するためのグラフ 注: GUACは活発に開発中です - 貢献に関心がある方は、貢献ガイドをご覧ください。GUACはOpenSSFのインキュベーションプロジェクトであり、サプライチェーン整合性WGの一部です。 Graph for Understanding Artifact Composition GUAC...

trajan

Trajan: CI/CD セキュリティスキャナー Trajan は、攻撃者がソフトウェアサプライチェーンを侵害するために使用するセキュリティ脆弱性を CI/CD パイプラインでスキャンします。GitHub Actions、GitLab CI、Azure DevOps、Jenkins、JFrog をサポートしています。 機能 Trajan は、ワークフロー YAML ファイルを解析し、依存関係グラフを構築し、検出プラグインを実行し、組み込みの攻撃機能による悪用可能性を検証します。 32 の検出プラグイン（複数の CI/CD プラットフォーム対応） 24 の攻撃プラグイン（複数の CI/C...

proxy

git-pkgs proxy A caching proxy for package registries. Speeds up package downloads by caching artifacts locally, reducing bandwidth usage and improving reliability. Version Cooldown Most supply chain attacks rely on speed: a malicious version gets published and consumed by automated pipelines...

GitHunt

BHEU デモ このリポジトリには、Black Hat Europe 2025 の The Forensic Trail On GitHub: Hunting For Supply Chain Activity のための3つのデモが含まれています。 1. potentialattacksdemo : 公開された GH ファイアホースをもとに、攻撃の特定と調査を行うデモを表示する Flask Web アプリケーション。 2. ghdig : GitHub アクティビティを調査するためのコマンドラインツール。 3. gitthrunter : 不審な GitHub...

dotNetPELoader

dotNetPELoader セキュリティに関する注意 最近、このプロジェクトの非公式な改変版がこのリポジトリ外で再配布されていることを発見しました。 ファイルをレビューした結果、公式のソースコードには存在しない 追加の隠しコンポーネントやスクリプト読み込み動作を特定しました。 ご注意ください： 非公式配布物には、元のソースコードの一部ではない 追加の実行可能ファイルやスクリプト読み込み要素が含まれています。 このプロジェクトの公式リリースはこのリポジトリのみ で公開されています。 公式リリースには、追加のバッチファイル、隠しローダー、埋め込みスクリプトコンポーネントは含まれていません。...

slsa

SLSA（“salsa”）は、ソフトウェアアーティファクトのサプライチェーンレベルです SLSA（発音は“salsa”）は、ソースからサービスまでのセキュリティフレームワークであり、ソフトウェアに関わるすべての人に、ソフトウェアセキュリティとサプライチェーンの整合性のレベルを高めるための共通言語を提供します。それは、チェーン内のどのリンクでも、安全な状態から可能な限り回復力のある状態へと移行する方法です。 SLSAについて学ぶ SLSAについて学ぶには、https://slsa.dev を参照してください。 このリポジトリの内容 このリポジトリの主要なコンテンツは、spec/...

ai-kill-chain

AI時代の脅威に対応する拡張サイバーキルチェーン LLMおよびエージェント型AI攻撃に対抗する防御側のための、Lockheed Martin Cyber Kill Chainのアップデート。モデルサプライチェーンの侵害に対応する攻撃前段階を追加。元の7段階それぞれにAI固有のサブテクニックを追加。Actions on Objectives段階を3つの対等なサブ段階に分割：従来型データ窃取、モデル抽出、エージェント型ピボット。 著者: Gourav Nagar バージョン: 1.0 日付: 2026年5月19日 リポジトリ:...

CVE-2023-45612-PoC

CVE-2023-45612 https://nvd.nist.gov/vuln/detail/CVE-2023-45612 CVEの説明 JetBrains Ktor 2.3.5 より前のバージョンでは、XML 形式を使用する ContentNegotiation のデフォルト設定が XXE に対して脆弱でした。 この脆弱性は、2023年9月29日に @marychatte によってパッチが適用されました（https://github.com/ktorio/ktor/pull/3770）。この脆弱性は、外部ライブラリ xmlutil version 0.86.1...

PolinRider

PolinRider: DPRKの脅威アクターが数百のGitHubリポジトリにマルウェアを埋め込む 日付: 2026-03-07 最終更新: 2026-04-11 — 以下の4月10日～11日の更新を参照 深刻度: CRITICAL — 1,950以上 の公開リポジトリにわたる活発なサプライチェーン感染、TasksJacker / Contagious Interviewクラスターとの運用統合を確認...

teampcp-supply-chain-attack

TeamPCP サプライチェーン攻撃: 技術分析と検出ガイド CVE-2026-33634 CVSS 9.4 — 2026年でこれまでに最も影響力の大きいCI/CDサプライチェーン攻撃。 2026年3月19日から25日にかけて、脅威アクター TeamPCP 別名: DeadCatx3、PCPcat、ShellForce、CanisterWorm は、GitHub Actions、Docker Hub、OpenVSX、npm、PyPI の5つのエコシステムにまたがる連鎖的なサプライチェーン侵害を実行しました。ローテーションが不完全だった単一のGitHub...

sh4d0wup

sh4d0wup % docker run -it --rm ghcr.io/kpcyrd/sh4d0wup:edge -h Usage: sh4d0wup OPTIONS Commands: bait Start a malicious update server front Bind a http/https server but forward everything unmodified infect High level tampering, inject additional commands into a package tamper Low level tampering,...

trustlock

trustlock Gitネイティブな依存関係アドミッションコントローラ。依存関係の変更ごとに信頼シグナルを評価します。 仕組み trustlockはGit pre-commitフック （アドバイザリモード）とCIチェック （強制モード）として動作します： アドバイザリ（pre-commit）： 違反を警告し、コード0で終了。すべてのパッケージが許可された場合に信頼ベースラインを更新します。 強制（--enforce）： 違反をブロックし、コード1で終了。ベースラインは更新されません。 パッケージごとに評価される信頼シグナル： クールダウン —...

minimal

133 small, hardened container images. Free, MIT-licensed, signed, and rebuilt every six hours. Browse the catalog → Quick start docker pull ghcr.io/rtvkiz/minimal-python:latest No account needed. Every image has a :latest-dev companion with a shell and toolchain for debugging and multi-stage...

smart-tree

🌳 Smart Tree - スマートツリーハウス: サイバー植物学的ダッシュボード & エージェント非依存フック! 🌐 Smart Tree は、従来の tree よりも 10～24 倍高速な、爆速で AI フレンドリーなディレクトリ可視化ツールです。サプライチェーン攻撃検出のための Security Scanner 、Aye Consciousness の保持、Spicy TUI モード 、そして 30 以上の MCP ツール を搭載! 最大限のパフォーマンスを実現するために Rust で構築されています。 ⚡ クイックインストール Linux/macOS/WSL - One lin...

sloppy-joe

幻覚、タイポスクワッティング、および非正規の依存関係をキャッチ 本番環境に到達する前に。 cargo install sloppy-joe LiteLLMサプライチェーン攻撃（2026年3月）は、月間9700万ダウンロードのパッケージを侵害しました。攻撃者は公開用認証情報を盗み、SSHキー、クラウド認証情報、K8sシークレットを収集する悪意のあるバージョンを押し込みました。sloppy-joeのデフォルトの72時間バージョンエイジゲートは、両方の毒入りバージョンをブロックしていたでしょう — それらは数時間以内に発見され、ゲートが開く前でした。CIでsloppy-joe...