设为首页 收藏本站 English

当前位置: 一川机械网 >> 最新文章

GitHub资源库遭黑客攻击仅索0.1比特币约合566美信封机元

发布时间:2019-07-30 22:44:40

GitHub资源库遭黑客攻击,仅索0.1比特币,约合566美信封机元

据《个人电脑杂志》网站报导,GitHub正遭到1名黑客的入侵。据称,这名黑客先擦除代码资源库,然后向用户索要赎金,作为恢复数据的交换。

这次黑客攻击率先由外媒ZDNet报导。目前已有最少392个不同的GitHub资源库遭到攻击。黑客擦除数据后,留下1条勒索信息:“如果想要恢复丢失的数据并避免数据进1步泄漏,你须向我们支付0.1比特币,并发送电子邮件,说明你的GitHub登录名和提供支付凭证。若你不肯定我们是不是持有你的数据,你可以联系我们,然后我们会向你提供证据。你的代码已被下载并备份到我们的服务器上。如果10天以内我们没有收到赎金,我们会公然你的代码或直接使用之。”

运动鞋

类似服务(如Bitbucket和GitLab等)的代码资源库也遭受了该攻击。据不同的平台陈称,黑客的攻击对象为要末使用弱密码或在其他独立服务上不谨慎泄漏了登录凭据的账号。

G汽配itHub在1份声明中写道:“目前,我们部份用户的账户凭证仿佛因未知的第3方风险而遭到侵害。我们正在努力与受影响的用户合作,以保护并恢复他们的账户。”

Atlassian旗下具有Bitbucket服务平台。Atlas不锈钢管sian的1名安全研究人员告知Motherboard说,大约有1000名用户可能遭到攻击。但目前尚不清楚是不是有任何有价值的数据在这次攻击中被偷窃。比如,很多在GitHub上的代码资源库都是同享的。或,受影响的资源库也多是不太经常使用的资源库,或正在托管着计划不完善的项目。

私有代码资源库是不是遭到攻击目前也尚不防盗窗清楚。但实际上,仿佛没有任何代码被真正地删除。在周5发送的安全公告中压克力板,Bitbucket表示其计划在未来24小时内逐渐恢复受影响的代码资源库。1名受害者挤压机也表示自己通过技术方法得以恢复被擦除的代码。

GitLab的安全主管凯西·王(Kathy Wang)说:“我们有充分证据表明,受影响账户的账吊杆户密码以明文情势存储在相干资源库的部署中。我们强烈建议用户使用密码管理工具,以更安全的方式,存储密码。”

“我们仍在调查这个问题,但我们在部署的利用中的1个不安全的位置上,发现了1些受影响资源库的硬编码凭证的‘更新’脚本,”凯西·王在邮望远镜件中补充说道。邮件中还指出,GitLab的用户亦可以恢复他们的代码资源库。

黑客在勒索信息中提道,受害者唯一10天的时间来支付0.1比特币(约合566美元),否则黑客将公然偷盗的代码或自己使用这些代码。但截至目前,黑客的比特币地址照旧基本为空。

作为对此次黑客攻击的回应,GitHub、Bitbucket和GitLab均建议用户为他们的账户激活两重验证功能,以提高账户安全。

黑客:不交比特币,就公然用户代码

程序员的大本营被黑客攻击了!

就在51假期的最后调色设备1天,1些程序员查看自己托管到GitHub上的代码时发现,他们的源代码和Repo都已消失不见,取而代之的是黑客留下的1封勒索信!

这封信中表示,他们已将源代码下载并存储到了自己的服务器上。

受害者要在10天以内,往特定账户支付0.1比特币(约合人民币3800元),否则他们将会公然代码,或以其他的方式使用它们。

“要找回你丢失的代码并避免代码泄漏:将0.1比特币(BTC)发送至我们的比特币地址1ES14c7qLb5CYhLMUekctxLgc1FV2Ti9DA,并通过邮件与我们联系,提供您的git登录信息和付款证明。地址为admin[at]gitsbackup[dot]com。

如果你不肯定我们是不是有你的数据,请联系我们,我们会给你发送证明。你的代码已被下载并备份到我们的服务器上。

如果我们在接下来的10天内没有收到你的付款,我们将公然你的代码或以其他方式使用它们。”

从这个要挟话语来看,遭到攻击的是GitHub上的私有库。而且,不单单是GitHub,其他代码托管网站GitLab、Bitbucket也遭到了攻击。

突如其来的攻击

根据GitHub上的搜索数据显示,1共有373名二手轿车用户遭到了攻击。根据GitLab公布的数据,黑客最少可以访问所有131个用户和163个存储库。

这些遭到攻击的贮存库的代码和提交信息,全都被1个名为 “gitbackup” 的账号删除。

在各大社交媒体上,1些受害者将遭到攻击归咎于Atlassian开发的Git GUI利用程序SourceTree,认为黑客利用了其中的漏洞。

但攻击波及的范围涵盖多个平台,The Register报导称,这次攻击极可能是针对无意识的安保温管全性较差的存储库,xDSL而不是特定的漏洞。

箱包革

根据ZdNet报导,黑客多是扫描互联网上的Git配置,然后提取了其中的登录凭证登录Git库,来完成的这波操作。

截止到发稿时间,还没有人向攻击者的比特币账户支付赎金。取而代之的是,这1比特币地址遭到了很多举报。

根据Bitcoin Abuse数据库显示,已有31人举报了这1比特币地址,表示对方是1个黑客,希望删除地址。

ZdNet记者Catalin Cimpanu表示,攻击现在已停止,并没有新的账户被攻击的情况出现。

遭到攻击不要慌

根据GitLab的官方声明,这次黑客攻击事件最大的问题在用户:

“我们有充分证据表明,受影响帐户的密码以明文情势存储在相干代码库的部署中。”

因此提高安全意识才是保护自己代码的最好方法,GitLab建议用以下方法避免密码被黑客盗取:

六角法兰

1、使用强密码,下降被黑曲轴客植保机械破解的风险;带锯

2、用密码管理工具存储密码,不要使用明文;

蔬菜配送

3、开启双因素身份验证,并使用SSH密钥提高。

如果你已不幸中招,也不要急着交赎金,由于即便交钱也没法保证代码不会被黑客公然。

至于已被删除的代码,1位初期受害者在StackExchange论坛指出,代码其实还在,是可以恢复出来的,只是HEAD被黑客修改了而已。

他还给出了1系列补救办法,被GitLab官方推荐。

输入以下代码:

git checkout origi波纹手轮n/master

git reflog # take the帽子 SHA of the last commit of yours

git reset [SHA]

能看到黑客的提交记录,并修复origin/master。但是问题还没有完全解决,如果输入git status,还是会显示:

HEAD detached from origin/master

如果你在本地备份了代码,那就好办了喷涂设备,直接把本地代码强迫push上去:

git push origin HEAD:master --force

如果你在小型阀本地没有备份,依然可以从远程库克隆,用git ref玩具兔log或git fsck可以找到最后1次提交并更改HEAD。

接下来唯1需要担心的可能就是黑客是不是会公布你的私有代码了。

代码被公然之痛

电镀银

关于代码被公然,国内1些公司也有切肤之痛。

比如大疆,其1名前员工,将含有公司商业机密的代码上传到了GitHub的公有仓库中,造成源代码泄漏。

根据这些源代码,攻击者可以SSL证书私钥,访问客户的敏感信息,比如用户信息、飞行日志等等。

根据评估,这次泄漏代码1共给大疆造成了116.4万的经济损失。

陶瓷餐具

前不久,关于这1代码泄漏事件也得到了判决:

“有期徒刑6个月,并处罚金20万。”

最近,B站的源代码也被人公然到GitHub,虽然很快被封禁,B站也已报警处理,但有很多网友克隆了代码库,隐患已埋下,补救起来也很是头疼。

如果黑客公然了这次获得的所有代码,对其中1些小团队来讲可能就是灭顶的打击了。

友情链接