GitHub遭攻击！黑客给出十天限期：不交赎金，就公开用户私有代码

本文经AI新媒体量子位（公家号ID:QbitAI）授权转载，转载请接洽出处。

措施员的大本营被黑客进攻了！

就在五一假期的最后一天，一些措施员查察本身托管到GitHub上的代码时发明，他们的源代码和Repo都已消散不见，取而代之的是黑客留下的一封打单信！

这封信中暗示，他们已经将源代码下载并存储到了本身的处事器上。

受害者要在10天之内，往特定账户付出0.1比特币（约合人民币3800元），不然他们将会果真代码，或以其他的方法行使它们。

要找回你丢失的代码并停止代码走漏：将0.1比特币(BTC)发送至我们的比特币地点1ES14c7qLb5CYhLMUekctxLgc1FV2Ti9DA，并通过邮件与我们接洽，提供您的git登录信息和付款证明。地点为admin[at]gitsbackup[dot]com。

假如你不确定我们是否有你的数据，请接洽我们，我们会给你发送证明。你的代码已经被下载并备份到我们的处事器上。

假如我们在接下来的10天内没有收到你的付款，我们将果真你的代码或以其他方法行使它们。

从这个威胁话语来看，受到进攻的是GitHub上的私有库。并且，不只仅是GitHub，其他代码托管网站GitLab、Bitbucket也受到了进攻。

突如其来的进攻

按照GitHub上的搜刮数据表现，一共有373名用户受到了进攻。按照GitLab发布的数据，黑客至少可以会见全部131个用户和163个存储库。

这些受到进攻的储存库的代码和提交信息，全都被一个名为 “gitbackup” 的账号删除。

在各大交际媒体上，一些受害者将遭到进攻归罪于Atlassian开拓的Git GUI应用措施SourceTree，以为黑客操作了个中的裂痕。

但进攻波及的范畴涵盖多个平台，The Register报道称，这次进攻很也许是针对有时识的安详性较差的存储库，而不是特定的裂痕。

按照ZdNet报道，黑客也许是扫描互联网上的Git设置，然后提取了个中的登录凭据登录Git库，来完成的这波操纵。

截至到发稿时刻，还没有人向进攻者的比特币账户付出赎金。取而代之的是，这一比特币地点遭到了不少举报。

按照Bitcoin Abuse数据库表现，已经有31人举报了这一比特币地点，暗示对方是一个黑客，但愿删除地点。

ZdNet记者Catalin Cimpanu暗示，进攻此刻已经遏制，并没有新的账户被进攻的环境呈现。

遭到进攻不要慌

按照GitLab的官方声明，这次黑客进攻变乱最大的题目在用户：

“我们有充实证据表白，受影响帐户的暗码以明文情势存储在相干代码库的陈设中。”

因此进步安详意识才是掩护本身代码的最好要领，GitLab提议用以下要领防备暗码被黑客偷取：

1、行使强暗码，低落被黑客破解的风险；

2、用暗码打点器材存储暗码，不要行使明文；

3、开启双身分身份验证，并行使SSH密钥进步。

假如你已经不幸中招，也不要急着交赎金，由于纵然交钱也无法担保代码不会被黑客果真。

至于已经被删除的代码，一位早期受害者在StackExchange论坛指出，代码着实还在，是可以规复出来的，只是HEAD被黑客修改了罢了。

他还给出了一系列调留步伐，被GitLab官方保举。

输入以下代码：

git checkout origin/master 
git reflog # take the SHA of the last commit of yours 
git reset [SHA] 

能看到黑客的提交记录，并修复origin/master。可是题目还没有完全办理，假如输入git status，照旧会表现：

HEAD detached from origin/master 

假如你在当地备份了代码，那就好办了，直接把当地代码逼迫push上去：

git push origin HEAD:master --force 

假如你在当地没有备份，如故可以从长途库克隆，用git reflog可能git fsck可以找到最后一次提交并变动HEAD。

接下来独一必要担忧的也许就是黑客是否会发布你的私有代码了。

代码被果真之痛

关于代码被果真，海内一些公司也有亲自痛楚。

好比大疆，其一名前员工，将含有公司贸易机要的代码上传到了GitHub的公有客栈中，造成源代码泄漏。

按照这些源代码，进攻者可以SSL证书私钥，会见客户的敏感信息，好比用户信息、航行日记等等。

按照评估，这次走漏代码一共给大疆造成了116.4万的经济丧失。

前不久，关于这一代码泄漏变乱也获得了讯断：

有期徒刑六个月，并赏罚金20万。

最近，B站的源代码也被人果真到GitHub，固然很快被封禁，B站也已经报警处理赏罚，但有不少网友克隆了代码库，隐患已经埋下，调停起来也颇为头疼。

假如黑客果真了这次获取的全部代码，对个中一些小团队来说也许就是溺死的冲击了。

（编辑：湖南网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!