微信扫一扫
分享到朋友圈
大量GitHub用户遭黑客勒索：不交比特币就公开私有代码
机器之心报道
参与：李泽南、杜伟
「大型程序员交友网站」也被人盯上了。这次主要针对GitHub用户的攻击大约于5月2日开始，目前已有几百个账户受到影响，黑客也将勒索范围伸向了Bitbucket和GitLab等类似代码托管网站。被攻击的似乎都是密码/安全强度较弱的账户。目前我们还不清楚在这场事件中有哪些有价值的内容被窃取。
在 GitHub 上托管代码，请保护好自己的账户。近日，一名黑客入侵了大量 GitHub 账户的行动引发了人们的关注，据称他实施的攻击已经删除了很多人们托管的代码库，并以此勒索赎金以恢复信息。
这一攻击很快被人们注意到，目前至少在 GitHub 上就已波及了至少 392 个不同的用户。「为了恢复你失去的信息并让它们免于泄露，请交给我们 0.1 比特币（BTC）给账户 1ES14c7qLb5CYhLMUekctxLgc1FV2Ti9DA，并发邮件给 admin@gitsbackup.com 告知你的 Git 账户和付款凭证。」勒索信中写道。
勒索信内容，黑客扬言 10 天不交比特币就曝光你的代码。
除了 GitHub 之外，Bitbucket 和 GitLab 等类似服务也遭到了同样的攻击。几个平台官方目前均表示，黑客目前的攻击目标是那些密码简单，或者在不同平台上使用相同密码的用户。
「目前，我们发现一些用户的账户正因为未知第三方泄露而遭到侵害，」GitHub 在一份声明中表示。「我们正在与受影响的用户合作，以保护和恢复他们的帐户。」
目前在 GitHub 上可以看到，已有 392 人遭到勒索。
BitBucket 拥有者，Atlassian 的一名安全研究员表示，目前至少已有 1000 名用户遭到了代码勒索，但尚不清楚是否有任何有价值的内容已被窃取。因为 GitHub 上有很多内容是公开并被鼓励传播的。而被攻击的私有代码也有可能并不是那么重要，甚至只是还未完成的内容。
虽然我们不知道代码库是否会被破坏，但它们还不能被黑客彻底删除。5 月 3 日，Bitbucket 网站表示他们计划在未来 24 小时内回滚受影响的代码库。也有用户称自己通过「访问黑客的 hash」找回了被删除的代码。
GitLab 安全负责人 Kathy Wang 对此则表示：「我们持有的证据表明被波及的账户其密码在其他相关内容库里是以明文形式存储的。我们强烈建议使用密码管理工具，并以更安全的方式存储密码。」
「我们仍然在调查这个问题，但目前已发现一些受影响的账户中，在不安全的部署应用地址里的硬编码凭据有了『更新版』脚本。」Kathy Wang 说道。如果黑客会像他所声称的一样采取行动，如不支付价值 566 美元的赎金，大量用户的代码就会被公开。但目前看来相关的比特币账户仍然没有金币入账。
GitHub：请提升你的密码强度
突然的攻击让 GitHub 如临大敌。5 月 4 日晚，GitHub 发出了最新官方声明：公司已经与受影响的团队，以及其他被攻击的网站共同进行了调查，并没有发现 GitHub 的登录验证系统被攻破。面对这次攻击，GitHub、Bitbucket 和 Gitlab 的官方建议都是相同的：请加强你的密码强度，并开启二次验证登录方式。
也有网友找到了恢复被删信息的方法。在 stackexchange.com 上，一名被攻击的 GitLab 网友通过尝试访问 hash 的方式试出黑客的「删除」代码实际上只是修改了 HEAD 中的内容。
他也给出了自己的「破解」方式，并得到了人们的点赞。
输入
git checkout origin/master你就可以看到黑客攻击的 commit；输入
git checkout master则可以看到所有的被删除文件；输入
git checkout origin/master
git reflog # take the SHA of the last commit of yours
git reset [SHA]可以帮助你恢复 origin/master
最后，如果你的本地还存有代码，输入
git push origin HEAD:master --force就可以恢复所有内容了。
参考内容：
https://motherboard.vice.com/en_us/article/vb9v33/github-bitbucket-repositories-ransomware
https://www.pcmag.com/news/368158/hacker-tries-to-ransom-github-code-repositories-for-bitcoin
https://mspoweruser.com/developers-at-microsofts-github-are-being-held-to-ransom/
本文为机器之心报道，转载请联系本公众号获得授权。
✄------------------------------------------------
加入机器之心（全职记者 / 实习生）：hr@jiqizhixin.com
投稿或寻求报道：content@jiqizhixin.com
广告 & 商务合作：bd@jiqizhixin.com
1、头条易读遵循行业规范，任何转载的稿件都会明确标注作者和来源；
2、本文内容来自“机器之心”微信公众号，文章版权归机器之心公众号所有。
