超过3千个GitHub账号遭黑客组织滥用，作为传播恶意软件的渠道

黑客滥用程序代码存储库GitHub来传播恶意程序的情况，最近一、两年可说是不断出现，但如今有人大规模经营这类账号提供他人运用，形成庞大的网络犯罪生态圈。

安全企业Check Point披露专门经营GitHub账号网络的黑客组织Stargazers Ghost，对方经营由超过3千个GitHub“幽灵”账号组成的网络，并将其用于传播恶意软件及恶意连接。

黑客为了让这些存储库看起来是正当使用，他们还会为存储库加上星号、创建版本分支，并且订阅其他恶意存储库。

但该组织经营这种网络设施并非单纯自给自足，而是向其他黑客提供租用服务，研究人员将这种服务称作Distribution as a Service（DaaS）。他们看到黑客在2022年8月开始尝试开发及进行测试，并在隔年7月于暗网论坛发布广告吸引买家上门，根据今年5月中旬至6月中旬的监测，他们估计该组织的月收入约为8千美元，截至目前为止，不法获利超过10万美元。

研究人员特别提到，Stargazers Ghost并非只经营GitHub账号提供存储库供网络罪犯运用，因为，他们还发现其他平台的幽灵账号。

究竟他们如何发现这种大规模经营用于传播恶意程序的GitHub账号，研究人员透露最初在经过短期的监控，一口气发现超过2,200个幽灵账号经营的程序代码存储库，而且，在今年1月的发生的网络攻击里，就通过这些存储库传播盗取信息软件Atlantida，并在4天内导致1,300台计算机遭到感染。

至于黑客传播这些存储库的恶意连接的方式，研究人员指出，很有可能通过即时通信软件Discord的频道来进行，对方假借提供破解软件或是与加密货币相关的活动，通过网络钓鱼范本引诱用户上当，目标是想要增加粉丝的YouTube、Twitch、Instagram的经营者。

一般来说，黑客多半是利用GitHub存储库直接作为提供恶意程序的渠道，而这种存储库通常是为了特定攻击行动设置，而且会长时间保持可用状态，不过，这些存储库通常不会有相关的下载指示或是说明。

而Stargazers Ghost的做法彻底改变这样的游戏规则，他们并非利用存储库存放恶意软件，而是在这些存储库提供恶意连接，而这些连接有许多的GitHub“用户”背书，获得大量的“星星”或是“验证”，使其看起来更为真实、合法。

基本上，这些黑客对于特定的群体，会使用相同的标签及图像，研究人员推测这些存储库来自相同的范本，并通过自动化的方式产生。通常这种存储库包含的说明网页（README.md），都会包含恶意的“Download”连接，用户若是点击多半会联网外部网站，但也有重定向其他GitHub存储库的情况。而这些黑客回避GitHub扫描恶意文件的做法，通常就是运用以密码保护的压缩文件来达到目的。