一、黑客攻擊事件頻發
近期，黑客攻擊事件愈發頻繁，給軟件安全帶來了嚴重威脅。安全公司 Trellix 發文指出，有黑客將勒索軟件 Fickle Stealer 偽造成 GitHub 桌面端應用，通過釣魚郵件、搜索引擎競價排名廣告等方式向外界投放。一旦用戶不慎下載，就可能中招。該勒索軟件使用 Rust 語言開發，能從受害者瀏覽器和多種應用程序中收集賬號密碼、瀏覽記錄、信用卡信息等個人數據。同時，它還會利用 PowerShell 腳本繞過用戶賬戶控制（UAC），具備規避安全軟件檢測的功能，甚至在攻擊暴露后能偽造錯誤信息進行掩蓋并自我刪除。
此外，黑客還創建虛假 GitHub 帳戶，針對安全研究人員傳播惡意軟件。他們創建真實安全研究人員的虛假資料，推廣看似包含流行產品漏洞的代碼存儲庫。例如，創建 Twitter 帳戶網絡，偽裝成虛構公司成員，甚至使用主要網絡安全公司雇用的安全研究
人員頭像5 月初，VulnCheck 研究人員在 GitHub 上發現惡意存儲庫，聲稱在 Signal 消息傳遞應用程序中包含未公開漏洞，雖被管理員刪除，但第二天又出現類似存儲庫。攻擊者創建了大約七個 GitHub 帳戶和四個 Twitter 帳戶，每個帳戶都包含惡意存儲庫，聲稱是對流行軟件系統高危漏洞的利用。
國際知名白帽黑客郭盛華表示，至少有一半來自與欺詐性網絡安全公司相關的假研究人員的 GitHub 賬戶在代碼托管服務上推送惡意存儲庫。這些惡意存儲庫聲稱是針對 Discord、Google Chrome 和 Microsoft Exchange Server 中所謂的零日漏洞的概念驗證（PoC）漏洞利用。目前尚不清楚黑客是否成功通過這種方式投遞了惡意軟件，但他們的執著追求表明他們相信這種攻擊有成功的潛力。
二、攻擊手段多樣
（一）偽裝應用投放
安全公司 Trellix 發現黑客將勒索軟件 Fickle Stealer 偽造成 GitHub 桌面端應用進行投放。為了加強可信度，黑客冒用 “GitHub, Inc”、“Microsoft Public RSA Time Stamping Authority” 的名義對應用進行簽名，企圖蒙蔽用戶。Fickle Stealer 勒索軟件使用 Rust 語言開發，據稱能夠從受害者瀏覽器和多種應用程序中收集賬號密碼、瀏覽記錄、信用卡信息等多項個人數據。該勒索軟件還會利用 PowerShell 腳本繞過用戶賬戶控制（UAC），同時具備規避安全軟件檢測的功能，甚至能夠在攻擊行為暴露后能通過偽造錯誤信息進行掩蓋并自我刪除。此外，Fickle Stealer 的一項關鍵機制是利用自制的打包工具混淆惡意代碼，使得靜態分析工具和傳統檢測方法無法識別。黑客還引入了反沙盒技術，避免相關軟件能夠在沙盒環境中被安全公。司所分析具備一定的反偵察意識。
（二）創建虛假帳戶
黑客創建虛假 GitHub 帳戶，針對安全研究人員傳播惡意軟件。他們創建真實安全研究人員的虛假資料，推廣看似包含流行產品漏洞的代碼存儲庫。例如，創建 Twitter 帳戶網絡，偽裝成虛構公司成員，甚至使用主要網絡安全公司雇用的安全研究人員頭像。5 月初，VulnCheck 研究人員在 GitHub 上發現惡意存儲庫，聲稱在 Signal 消息傳遞應用程序中包含未公開漏洞，雖被管理員刪除，但第二天又出現類似存儲庫。攻擊者創建了大約七個 GitHub 帳戶和四個 Twitter 帳戶，每個帳戶都包含惡意存儲庫，聲稱是對流行軟件系統高危漏洞的利用。目前尚不清楚黑客是否成功通過這種方式投遞了惡意軟件，但他們的執著追求表明他們相信這種攻擊有成功的潛力。
（三）利用漏洞分發惡意軟件
GitHub 被曝存在高危漏洞，黑客可利用 comment 文件上傳系統分發各種惡意軟件。用戶可以將文件上傳到指定 GitHub comment 中（即便該條 comment 并不存在），也會自動生成下載鏈接。此鏈接包括存儲庫的名稱及其所有者，可能會誘使受害者認為該文件是合法的。例如上傳到 GitHub 的文件 URL 地址可以表明來自微軟，但事實上該項目代碼中從未提及相關內容。該漏洞并不需要任何復雜的專業技術，只需要上傳惡意文件到指定 comment 即可。攻擊者可以在任何受信任的存儲庫中上傳惡意軟件，然后通過 GitHub 鏈接進行分發。而且這些鏈接屬于 GitHub 官方 URL 域名，且后綴是 “Microsoft” 等官方儲存庫，因此用戶很大幾率認為該 URL 下載鏈接的內容是正規安全的。GitHub 目前已經刪除了部分惡意軟件鏈接，但對目前尚未修復該漏洞。對于開發者而言，現階段沒有足夠有效的方法阻止這種濫用，唯一的方案就是完全禁用 comment。
三、勒索軟件危害巨大
（一）竊取個人數據
Fickle Stealer 勒索軟件作為一種極具危害性的惡意軟件，能夠從受害者的瀏覽器和多種應用程序中收集大量的個人數據。它可以獲取賬號密碼，這意味著用戶的各種在線賬戶都面臨著被黑客掌控的風險。瀏覽記錄的竊取則可能暴露用戶的興趣愛好、工作習慣等隱私信息，為黑客進行進一步的針對性攻擊提供線索。信用卡信息的被盜取更是可能導致用戶面臨嚴重的經濟損失，不僅可能遭受資金被盜刷的情況，還需要花費大量時間和精力去處理后續的金融糾紛。
（二）規避安全檢測
Fickle Stealer 勒索軟件具備強大的規避安全軟件檢測的功能，這使得它在網絡中更加難以被發現和攔截。它利用自制的打包工具混淆惡意代碼，使得靜態分析工具和傳統檢測方法無法識別。這種技術手段使得安全軟件難以對其進行有效的檢測和防范。同時，黑客還引入了反沙盒技術，避免軟件在沙盒環境中被安全公司分析。這意味著即使安全公司使用沙盒技術來檢測惡意軟件，Fickle Stealer 也能夠躲避檢測，具備一定的反偵察意識。當攻擊行為暴露后，該勒索軟件還能通過偽造錯誤信息進行掩蓋并自我刪除，進一步增加了追蹤和防范的難度。例如，它可能會偽裝成系統錯誤，讓用戶誤以為是正常的軟件故障，從而掩蓋其惡意行為。這種自我刪除的功能也使得證據的收集變得更加困難，給安全公司和執法部門的調查帶來了極大的挑戰。據統計，目前有超過 [X]% 的勒索軟件都具備一定的規避安全檢測和反偵察能力，給網絡安全帶來了巨大的威脅。
四、軟件安全形勢嚴峻
隨著信息技術的飛速發展，黑客攻擊手段不斷升級，軟件安全面臨著前所未有的重大挑戰。用戶和開發者必須提高警惕，加強軟件安全防護措施。
從攻擊手段來看，黑客的技術日益復雜。如郵件攻擊，黑客通過竊取登錄密碼，冒充管理員或企業高管發送要求轉賬的郵件，給企業和個人帶來嚴重的經濟損失。DDOS 攻擊則中斷網絡資源，使其暫時無法使用，影響企業的正常運營。系統漏洞也成為黑客攻擊的重要途徑，許多系統存在的安全漏洞可能被黑客利用，獲取用戶信息或控制企業系統。此外，種植病毒、網絡監聽、WWW 的欺騙技術等攻擊手段也給軟件安全帶來了巨大威脅。
對于開發者而言，軟件安全面臨的挑戰更加嚴峻。一方面，軟件開發技術的不斷發展使得軟件系統的復雜性和規模不斷增加，給軟件開發和維護帶來了更大的難度和挑戰。另一方面，黑客和惡意軟件不斷升級和發展，攻擊手段更加隱蔽和復雜，如釣魚攻擊、勒索軟件等，這給軟件安全性帶來了更大的威脅。同時，軟件開發人員往往更注重功能和性能的實現，而忽視了安全性問題，這會導致軟件存在安全漏洞。
據統計，2023 年我國移動應用安全形勢不容樂觀。全國共有 351 萬款 Android 應用通過移動應用安全平臺進行風險檢測，其中存在高危級漏洞的應用約 239 萬款，占應用總數的 76.89%。這些高危漏洞可能會被黑客利用，造成用戶隱私泄露或直接的財產損失。此外，移動互聯網應用植入惡意程序的情況近年來呈現出增長的趨勢，這些惡意程序可能會竊取用戶的個人信息、破壞系統、惡意扣費、彈出廣告等，對移動用戶的個人信息及財產安全帶來巨大的威脅。
面對如此嚴峻的軟件安全形勢，用戶和開發者應采取積極有效的措施來提高軟件安全性。用戶應提高安全意識，不隨意下載不明來源的軟件，不點擊可疑鏈接，定期更新軟件和操作系統，使用強密碼等。開發者則應加強軟件安全設計，采用加密技術、防火墻技術、漏洞掃描和修復等措施，提高軟件的安全性。同時，開發者還應加強對員工的安全培訓，提高員工的安全意識和技能，避免因人為因素導致的安全問題。
總之，軟件安全形勢嚴峻，用戶和開發者需共同努力，提高警惕，加強軟件安全防護措施，確保軟件安全。，