ClawHub开发者须防范凭证泄露威胁

慢雾科技首席信息安全官23pds近日发文提醒，ClawHub平台的开发者应高度关注钓鱼攻击与账户凭据泄露风险。目前该平台采用GitHub一键登录机制，存在被恶意利用的潜在漏洞。

攻击路径揭示安全链条断裂

攻击者可通过此前传播的Sha1-Hulud蠕虫获取大量开发者的GitHub账户信息，进而尝试通过认证接口进入系统。一旦成功，攻击者将以合法开发者身份登录ClawHub，上传带有后门代码的恶意Skills。当用户下载并安装此类组件时，其系统将面临被远程控制或数据窃取的风险，构成严重安全威胁。

强化身份验证成关键防护措施

为降低攻击成功率，建议开发者启用双重身份验证（2FA），避免使用弱密码，并定期轮换访问密钥。同时，平台方应加强登录行为监控，对异常操作进行实时告警，防止未授权发布行为发生。