现在，GitHub 上有成千上万的代码库在传播恶意软件。任何人都可以找到这些代码库，并且你不需要任何特别的知识来做到这一点。你所需要做的就是使用 GitHub 网站上的标准搜索功能。这些代码库已经存在两年了。GitHub 拥有数十亿美元的资金，一个安全团队和人工智能。为什么他们在这两年里没有解决这个问题？首先，我们将查看我们已经找到的代码库，识别其中的共同模式，然后利用这些模式找到其他代码库。看看这些代码库；在每一个代码库中，readme 文件包含一个指向包含特洛伊木马的 zip 压缩文件的链接： https://github.com/respawningcode/OpenAi-Sora https://github.com/idrissof/keyrad https://github.com/lowwkezer/shannon https://github.com/ramacuy/ai-excalidraw https://github.com/McuMirror/DWIN-T5L-SDCC-Template 包含特洛伊木马的 zip 压缩文件下载链接 如果我们下载这个 zip 压缩文件，并将其中的单个文件提交给 VirusTotal，我们将看到以下结果： 在 VirusTotal 上扫描 zip 压缩文件中的文件 即使只是快速浏览这些代码库，也能看到它们具有相同的结构，几乎相同的标题，并且每个标题都包含一个表情符号。这就是我们寻找其他代码库所需的所有信息。让我们使用标题 "📥 下载" 并在 GitHub 上搜索这个字符串。但我们不想搜索整个代码库——只想搜索 readme 文件。前往 github.com，在顶部的搜索栏输入以下内容： path:readme.md "## 📥 下载" 结果的数量会有所不同。起初，它向我显示了 9k 个代码库，但当我去到第 2 页时，只有 109 个代码库。刷新页面后，又恢复到 9k 个代码库。在搜索结果中，您需要视觉上过滤出包含其他文本的结果，而不仅仅是标题。标题的变化会看起来像这样： ## 📥 下载现在 ## 📥 下载现在又 ## 📥 下载软件 ## 📥 下载与安装 第一次搜索的结果 打开这些代码库。它们会有指向包含特洛伊木马的 zip 压缩文件的链接。然而，搜索结果中会包括许多合法的代码库。我们可以通过添加对 zip 压缩文件的搜索来改进搜索。搜索字符串将如下所示： path:readme.md "## 📥 下载" ".zip" 这将显著改善结果。现在，在搜索结果中，我们可以看到哪些代码库包含我们需要的标题和链接到 zip 压缩文件。 第二次搜索的结果 但这些结果仍然包括合法的代码库。我们还可以通过什么方法来进一步精炼搜索查询？所有指向 zip 压缩文件的链接都指向 githubusercontent.com 或 github.com。此外，zip 压缩文件包含版本号，例如 "Software-3.6.zip"。所以我们只需要写一个正则表达式来搜索这样的链接。但正如我一开始所说的，你不需要任何专业知识。这任何免费的 AI 模型都能应对。我们输入 10 个这样的链接，经过几次迭代后，我们得到了这个结果： path:README.md /raw\.githubusercontent\.com\/.*\d+\.\d+\.zip|github\.com\/.*\/raw\/refs\/heads\/.*\d+\.\d+\.zip/ 输入这个查询，你就会获得分发包含特洛伊木马的 zip 压缩文件的代码库。代码库的数量会有所不同。在我这里，有时是 111，有时是 4.4k。 第三次搜索的结果 但整个搜索之所以有效，是因为我们有一个初始的代码库列表，从中得出了一个通用的搜索模式。也许 GitHub 的安全团队没有这些代码库？也许他们不知道这个通用模式？一个月前，我发表了一篇文章，详细分析了这个方案。我写了一个脚本，找到了 10,000 个这样的代码库。我在 GitHub 上发布了所有代码库的列表和脚本。这篇文章登上了 Hacker News 的首页。其他网络安全网站也写过这个方案。下面是 GitHub 所采取的全部行动： 他们删除了脚本找到的所有 10k 代码库。就这样。他们没有做其他任何事情。更重要的是，几小时后我再次运行脚本；它找到了新代码库，我将它们添加到文章中。它们整整一个月都没有被阻止。尽管他们所需要做的只是再打开我的文章，获取新的链接，并封锁这些代码库。看来这对他们来说太困难了。但我们可以得出一个结论：他们非常清楚这个恶意软件分发方案。不论我怎么努力，我都无法找到为什么会发生这种情况的答案。微软是一家有着数十亿收入的公司。他们拥有成千上万的员工，无限的资源和人工智能。他们所需要做的只是给任何普通员工分配几天时间，以便让他们使用 Copilot 找到所有这些代码库并阻止它们。我从未在大公司工作过。我无法想象做出决策的过程是怎样的。