/

危机13小时：中国程序员，追踪 GitHub 投毒事件

作者：子墨
中国小哥，破获一场历时四年的GitHub投毒事件……
2024年12月4日，夜幕降临，GitHub上空却飘来了不祥的乌云。一批神秘的“幽灵仓库”如鬼魅般出现，它们没有代码，只有病毒文件，像是黑暗中的陷阱，等待着不幸的开发者上钩。这些仓库如同被诅咒的幽灵，在GitHub上快速获得star，超过180个虚假僵尸账户四处散播着代码病毒。
中国程序员子墨，单枪匹马，通过大数据筛查的方式，破获了这起 GitHub 恶意软件钓鱼事件。涉及的大V在 Github 上有接近数百关注者，获得过几千 star 。同时涉及有多达 180 个虚假账号，长达 4 年的活动。
危机13小时：中国程序员，追踪 GitHub 投毒事件
更重要的是，这些记录已被子墨上传在在区块链上，所有人都可以检验，涉事人删库也没用。
区块链地址：https://viewblock.io/arweave/tx/Cppr-Bus0TxC6_zqD-sJitVz4Ne3sR0noJknsuyhZ4Q
所有人都可以重走一遍这位中国程序员的侦查之旅，仔细检验每个网页备份。
以下是子墨的自述：

缘起

自北京时间 2024.12.4 晚间6点起， GitHub 上不断出现“幽灵仓库”，仓库中没有任何代码，只有诱导性的病毒文件。当天，他们成为了 GitHub 上 star 增速最快的仓库。超过 180 个虚假僵尸账户正在传播病毒，等待不幸者上钩。
而这一切被一位中国开发者--我收在眼底。经过几天的探测寻找，疑似找到了攻击者的真身。
幽灵仓库：没有任何代码，只有诱导性的病毒文件。它们在短时间内迅速获得大量星标（star），但实际上是为了传播病毒和进行网络钓鱼攻击。这些仓库被创建、获得高关注度后删除，然后再次创建，行为模式类似于“幽灵”，因此得名
僵尸账户：长时间不活跃或被恶意利用的账户。具体来说，僵尸账户可以是长时间没有活动迹象的账户，也可能被黑客或其他不良分子控制用于非法目的。这类账户不仅会增加平台管理成本，还可能带来安全风险。

 

发现"幽灵"

起初，我在编写一套开源程序，用于寻找当下最早期的潜力种子项目。
源码GitHub - chmod777john/github-hunter
我曾经用它找到过一个很好的开源项目MagicQui ，在其创建还不足24小时的时候我就检测到它了。
危机13小时：中国程序员，追踪 GitHub 投毒事件https://GitHub - chmod777john/github-hunter: AI 发掘潜在的爆火项目GitHub - chmod777john/github-hunter: AI 发掘潜在的爆火项目/github-hunter
自此我大受鼓舞，决定每天都用我的算法搜寻一下Github+上最新创建的仓库中，看看哪些是有潜力的。这样我可以领先于官方的Github Trending榜，也能比绝大部分科技媒体更早地发现好项目。
在 12.4 的搜寻过程中，我发现了一批不太一样的仓库。
危机13小时：中国程序员，追踪 GitHub 投毒事件
这里面的 is None 代表仓库有大量 star 记录，后来却被删库。为何有如此大量的高赞仓库会被删除呢？
起初我没在意，而在一天后，这些仓库再次出现。
危机13小时：中国程序员，追踪 GitHub 投毒事件
就好像幽灵一样，建仓->取得高赞->删库->再次创建。

罪证

这些仓库点进去一看，都是同一种风格：声称自己是某个游戏的外挂或者 PhotoShop 破解版之类的，引导用户下载并且打开他的 exe 文件。
危机13小时：中国程序员，追踪 GitHub 投毒事件
基本可以确定是钓鱼仓库了。所有这些仓库创建时间都非常相近，大约就是十多小时之前，而且短时间内积累到几百 star ，其背后必有高人。
钓鱼仓库：GitHub上的钓鱼仓库是指恶意创建的仓库，通常不包括任何实际代码，而是通过诱导性内容快速获得星标增加可信度，目的是欺骗用户下载执行病毒文件或恶意软件，对网络安全构成威胁。

追凶：历时4年的攻击

这些攻击者是谁？我决定一探究竟。
首先查看是谁给这些仓库点了赞。
危机13小时：中国程序员，追踪 GitHub 投毒事件
我本以为大多是最新创建的机器人账号。
出乎意料的是，这些账号的加入时间并不短。有些账号甚至是 2020 年就加入 Github 了。
4年的老号可不是说弄就弄的，如果这号是他自己的，那可真是下了血本，一个号养4年就为了这一天？
如果这号是他在黑市上买的，那说明4年前就有人开始批量养小号，也是一条很可观的产业链了。（创业都不一定能创4年呢）
无论这些号是攻击者自己养的还是在黑市上买的，成本都不低。

一片空白

我开始逐个账户打开查看，坐实了一件事：这些仓库都是一伙儿的！
危机13小时：中国程序员，追踪 GitHub 投毒事件
这个人点赞过的所有仓库，都是刚刚说的幽灵仓库！
不过个人资料卡上完全没有任何痕迹。没有粉丝，也没有关注的人，这让我们无从下手，简直一片空白。

漫漫长路

180 多个账号，我真的逐个点开来看了。其中大部分的都是纯粹的空白账户，只用来点赞。但仍然有一些是附带个人资料的。
危机13小时：中国程序员，追踪 GitHub 投毒事件
这个账号甚至附带了个人网页和 Instagram 。
不过凡事讲究双向证明。万一这个账号是冒用小哥的信息呢？只能将其列为怀疑对象。

峰回路转

攻击者账户 follow 了谁，并不重要，因为攻击者可以冒用他人信息。真正有用的线索，应该看谁 follow 了攻击者。
踏破铁鞋无觅处，我找到了一个活人账号。
危机13小时：中国程序员，追踪 GitHub 投毒事件
有 5 个人 follow 了这个账号！而且看他的 star 历史，可以明确他是攻击者之一。
而且该账号有真实的 Github 代码提交记录（记住这个叫 SimpleBot 的仓库）
危机13小时：中国程序员，追踪 GitHub 投毒事件
我们来看看是谁 follow 了这个 G4tito
危机13小时：中国程序员，追踪 GitHub 投毒事件
这两位都是大人物。看看他们的 Github 主页长啥样：
危机13小时：中国程序员，追踪 GitHub 投毒事件
BrunoSobrino 和 elrebelde21 这两位大 V， 曾经合作过一个开源项目。
危机13小时：中国程序员，追踪 GitHub 投毒事件
和明确攻击者做的项目是同名的！
至此，逻辑链如下：
危机13小时：中国程序员，追踪 GitHub 投毒事件
可见 BrunoSobrino 和 elrebelde21 这两位大牛，跟攻击者 G4tito 可能是有联系的。
其实到这里基本破案了。操纵 180 多个账号是短时间内点赞和创建仓库，批量生成内容，不太可能用人工完成，应该是用 Github API自动化做的。这两位大牛和明确攻击者，做的项目都是那种 WhatsAPP 机器人，技术栈也相当吻合了。
经大佬提点，找到一个疑似线索。
危机13小时：中国程序员，追踪 GitHub 投毒事件
危机13小时：中国程序员，追踪 GitHub 投毒事件

题外话

其实项目本意是用来寻找那些创建时间短，但是短时间内 star 增长很多的项目。这些项目可以认为是典型的早期优秀项目，日后必然大火的。

挖到这些项目之后，我会写到一段文字里，传到区块链上，作为“预言”。日后我预言到的项目大火了，大家都能知道“这小伙儿眼光不错”
没想到还能挖出这些幽灵仓库来。果然是黑暗森林，第一次真切感受到有人在 Github 上从事这些社会工程学活动。
不过现在情况还算好的，这些仓库基本都是同一个风格，说明干这事儿的基本上就只有一个组织。
上面的追凶推理是推测，还没有被官方证实。
存在恶意仓库、僵尸账号，这些是实锤的。
至于实际创建者是不是 BrunoSobrino 等人，存疑。
事实:“BrunoSobrino 自称是TheShadowBrokers(一个有名的黑客团体)，且他主动关注了僵尸账号。”
由这个事实能否认为他就是实控人，需要各位看官自行判断。

e/1EZ9e证据

我知道曝光之后，他们肯定会删库的，因此我已经提前把所有网页都备份到 GhostArchive 了。
我挖掘到的恶意仓库列表，也全都放在了区块链上，形成铁证。
各位看官不必信任我，请直接去查看区块链。所有记录都在里面。
Transaction Cppr-Bus0TxC6_zqD-sJitVz4Ne3sR0noJknsuyhZ4Q /Cppr-Bus0TxC6_zqD-sJitVz4Ne3sR0noJknsuyhZ4Q
事件描述：
https://link.zhihu.com/?target=https%3A//github.com/chmod777john/ghost-repos
我发现这个攻击事件所用的工具：
https://link.zhihu.com/?target=https%3A//github.com/chmod777john/ghost-repos

地址

GitHub - BrunoSobrino/ShadowBotV3/ShadowBotV3
GhostArchive 备份地址 https://ghostarchive.org/archive/1EZ9e
【有奖调研】2024年了，开发者们过得还好吗？码客人生开启了新一轮的程序员幸福指数问卷调查，参与问卷调研：https://dworks.zhiding.cn/f/DecZmP，幸运用户还可获得50元京东卡。

来源：至顶网码客人生频道

0赞

好文章，需要你的鼓励

推荐文章
ChatGPT 升级：新增全方位研究功能

人工智能

自然语言处理

代理智能技术

2025-02-05

ChatGPT 升级：新增全方位研究功能

OpenAI 为 ChatGPT 推出新功能"深度研究"，使其能够自主规划和执行多步骤研究，为用户提供全面的信息。这项功能可以处理文本和图像输入，生成详细报告，并显示研究过程。尽管存在一些风险，OpenAI 正努力通过先进的 AI 模型和强化学习技术来提高准确性和可靠性。

Microsoft 推出 Surface Copilot+ 商用电脑

人工智能

企业安全

智能硬件

2025-02-05

Microsoft 推出 Surface Copilot+ 商用电脑

微软推出新一代 Surface Copilot+ 商用电脑，集成 AI 功能和先进安全特性，包括 Microsoft Pluton 安全处理器。这些设备旨在提供更智能、更安全的计算体验，满足现代企业需求。通过 Windows 11、Microsoft 365 和 Surface 的结合，为企业提供了一个强大的平台，以安全地提升生产力、简化工作流程并增强协作。

Intel 正式错失数据中心 AI 市场良机

人工智能

GPU 加速器

架构创新

2025-02-05

Intel 正式错失数据中心 AI 市场良机

Intel 宣布取消 Falcon Shores GPU 项目,标志着其在数据中心 AI 加速器市场上挑战 NVIDIA 和 AMD 的希望破灭。此举使 Intel 在高端 GPU 领域再次失利,也意味着其下一代 GPU 架构可能还需一两年才能面世。尽管 Intel 仍有 Gaudi3 加速器,但在竞争激烈的市场中前景不明朗。

Microsoft 成立高级规划部门支持其 AI 发展

人工智能

量子计算

战略创新

2025-02-05

Microsoft 成立高级规划部门支持其 AI 发展

微软正在成立一个名为高级规划部门(APU)的新业务单位，旨在研究人工智能的影响并提出产品开发建议。该部门将隶属于微软AI首席执行官办公室，重点研究AI对社会的影响，并为微软的工程路线图提供指导。APU还将招募各领域专业人才，研究范围涵盖量子计算、核能和半导体等多个领域。

2024

12/16

10:13

分享

点赞

最新文章
相关文章
邮件订阅
数字化转型方略
更多

友情链接

业界热点:

北京第二十六维信息技术有限公司（至顶网）版权所有. 京ICP备15039648号-7 京ICP证161336号京公网安备 11010802021500号  京网文(2021)3350-928号  京字第20868号

举报电话：010-62641205　涉未成年人举报专线：010-62641208 举报邮箱：jubao@zhiding.cn　公开举报受理处置规则

网上有害信息举报专区：https://www.12377.cn

安全联盟认证