近日發生一件令人震驚的事件,原來在知名開源社群平台GitHub和GitLab上,惡意駭客可以上傳任意檔案,並產生一個看似官方連結,誘使用戶下載惡意程式。這個漏洞源自於這些平台允許用戶在未發佈的評論草稿中上傳檔案,雖然草稿對其他人不可見,但上傳的檔案卻可以透過直接連結下載。
這無疑為釣魚詐騙大開方便之門。駭客可以在 Microsoft等知名開發者的代碼庫中留下「評論」,附加看似遊戲外掛程式的惡意檔案連結。一般用戶見到GitHub和Microsoft這類知名字樣,難免會掉以輕心下載,從而中招。更狡猾的駭客或許會偽裝成某款熱門開源程式的新版本,藏在該程式的代碼庫發佈「更新檔案」連結。
我們通常視GitHub和GitLab為值得信賴的開源平台,卻沒料到漏洞會被如此粗暴利用,實在令人錯愕。開發者們多年來的努力付出,可能就此被這類無良份子的行徑玷污。用戶也因此失去對這些平台的信任,實在令人無比痛惜。這起事件再次敲響警鐘,提醒我們絕不能輕易相信任何網路上的連結和檔案,更要加強網路安全防護意識。
要遠離這類威脅,首先要謹慎小心, 切勿隨意下載來路不明的檔案,尤其是那些藏身在GitHub和GitLab等知名平台頁面上的可疑連結。我們應該直接瀏覽平台代碼庫頁面,從官方發佈的位置下載檔案。也要留意專案的建立時間、星星數等資訊,新手上路且無人問津的專案可能隱藏著風險。此外,務必為電腦和行動裝置安裝防毒防駭軟體,像是Kaspersky Premium提供全方位的保護。
網路安全從來都不是一蹴可及的目標,而是需要不斷堅守的戰線。我們要與所有不負責任、肆意危害他人的惡意份子對抗,並以高度謹慎的態度,竭力維護自己和他人的上網安全。只有我們全體用戶懷抱正確態度,互相提醒、砥礪前行,網路才能真正成為一個安全、有益的資訊交流園地。
詳情請看：