当前位置:首页 > 其他 > 开发者社区GitHub被攻击 黑客索要比特币

宝塔服务器面板,一键全能部署及管理,送你3188元礼包,点我领取

开发者社区GitHub被攻击 黑客索要比特币

转载自:巴比特 2019-05-05 其他 1399
分享给朋友:

大量开发者的Git源代码库已经被删除,并要求其支付赎金。

本次攻击最早在5月3日被发现,似乎是跨Git主机服务(GitHub、Bitbucket、GitLab)进行的。

目前所知的是,黑客删除了受害者Git代码库中的所有源代码以及近期的更新,并留下了勒索留言,要求开发者支付0.1比特币(约580美元)。

黑客声称所有源代码都已下载并存储在他们的服务器上,并给受害者十天时间支付赎金;否则他们将公开代码。

黑客的留言如下:

想要找回你丢失的代码,并且防止其被泄露;给我们的比特币地址(ES14c7qLb5CYhLMUekctxLgc1FV2Ti9DA)转0.1个比特币,然后通过admin@gitsbackup.com邮箱告诉我们你的Git登录名以及支付证明。如果你不相信我们有你的数据,可以联系我们,我们将提供证据。你的代码已被下载,并备份在我们的服务器。如果我们在未来10天内没有收到这笔钱,我们将公开或直接使用你的代码。

经查询,这个比特币地址目前仅在5月3日当天有一笔约0.00052525 BTC的入账。

201905050522182188.png

密码安全是关键

 据GitHub数据,受本次攻击影响的代码库已经达到近400个。

BitcoinAbuse.com这个网站用于追踪涉及可疑活动的比特币地址。该网站就这一比特币地址已报告34次可疑活动。其追踪到的所有可疑活动都包含相同的勒索信息,表明这个比特币地址被用于针对Git账户的协同攻击。

一些遭受黑客攻击的用户承认,他们的GitHub、GitLab和Bitbucket账户的密码不够安全,而且他们忘记删除一些好几个月没有用过的旧程序的访问许可——这两种情况都是线上账户受到攻击的常见方式。

然而,所有的证据都表明,黑客已经查看了整个互联网以寻找Git配置文件,提取了凭证,然后使用这些登录名访问和勒索Git托管服务的账户。

GitLab安全主管Kathy Wang在邮件中承认,这是导致账户被泄露的根本原因。

我们根据Stefan Gabos提交的支持文件确定了消息来源,并立即开始调查这个问题。我们已找出受影响的账户,并已通知这些用户。根据我们的调查结果,我们有充分的证据表明,在部署相关代码库时,受攻击的账户以明文形式存储密码。我们强烈建议使用密码管理工具,从而确保以更安全的方式存储密码,并在可能的情况下启用双因素身份验证,这两种方法都可以防止这个问题。

Bitbucket的母公司Atlassian没有回复置评请求,但他们已经开始通知客户有黑客非法进入了他们的账户,并开始向那些登录失败的账户发送安全警告。

支付赎金并非唯一的解决方式

好消息是,在深入研究了受害者的案例之后,StackExchange安全论坛的成员发现黑客实际上并没有删除,而仅仅是修改了Git代码头文件,这意味着在某些情况下是可以恢复的。

关于如何恢复Git代码库的步骤可以在这个页面上找到。

在推特上,开发者社区的一些重要人物目前正在敦促受害者在支付赎金之前联系GitHub、GitLab或Bitbucket的支持团队,因为还有其他方法可以恢复被删除的代码库。


分享给朋友:

相关文章

Gin框架参数多次绑定

在我们写的绝大部分的API代码当中,其实都是需要传递参数的,无论是通过 path、query string 还是 body,在 gin 当中,为我们提供了一系列的 binding 方法让我们可以把这些参数绑定到一个对象中,通过还可以通过 struct tag 来对参数进行校验,不知道到大家曾今是否和遇到过相同的困惑:

手摸手源码单机部署OpenIM实况教学

该操作均在CentOS7下进行这里不推荐直接使用 git clone --recursive 方式,因为大家都懂的网络问题!首先到 https://github.com/OpenIMSDK/Open-IM-Server 下载项目压缩包再到 https

宝塔WebHook中自动git拉取没有反应解决方法

最近遇到一个比较奇怪的问题,所有操作都完成后,无论怎么测试,git pull一直都不会执行,也没有报错.

推荐一款出色的SSH工具

​Tabby是一款可无限定制的跨平台终端应用,用于本地shell、串行、SSH和Telnet连接。支持SFTP。

一个简单的Golang代码,监控windows进程退出并自动重启

只要修改processName 为你所需要的进程exeprocessName_path 为你所需要的进程路径package main import (     "bytes"   

强烈推荐:一个快速处理json的第三方包

该第三方包采用go语言开发:先来看看官方的案例:package main import "github.com/tidwall/sjson" const json = `{"name":{&quot

gocron数据库表和字段字符集转换为utf8mb4

gocron_sql_convert_to_utf8mb4因为 gocron - 定时任务管理系统 默认表和字段字符集是utf8(也就是utf8mb3),所以在现下很多数据存储会有问题,最为突出的就是emoji表情写了一个简单的转换sql:git地址 有用到的小伙伴可以拿去直接转换

为集群搭建一个定时任务集中调度系统

集群任务下,很多服务器的定时任务都单独集中在相对应的服务器crontab下,即使现在有了类似于宝塔之类的面板,但是定时任务还是得每台服务器单独登入后去配置。是否可以单独在一台机子上,控制所有的集群定时任务呢?答案是肯定的!!!gocron就可以做到,之前博主分享过单机搭建定时任务管理系统,那现在,我

Linux 日志清理

磁盘占用90%,占用过多,分析日志查看原因