XZ惡意代碼潛伏三年，差點(diǎn)引發(fā)核末日？投毒黑客身份成謎

AIGC動(dòng)態(tài)歡迎閱讀

原標(biāo)題：XZ惡意代碼潛伏三年，差點(diǎn)引發(fā)核末日？投毒黑客身份成謎
關(guān)鍵字：報(bào)告,,項(xiàng)目,版本,攻擊者
文章來(lái)源：新智元
內(nèi)容字?jǐn)?shù)：7433字

內(nèi)容摘要：

新智元報(bào)道編輯：好困 Aeneas
【新智元導(dǎo)讀】這個(gè)周末，開(kāi)源軟件xz，直接引發(fā)了安全界！一段惡意代碼被悄悄植入了，險(xiǎn)些波及各大Linux系統(tǒng)。好在，或許是因?yàn)楣粽呤韬隽耍壳安⑽丛斐蓢?yán)重后果。但如果沒(méi)被及時(shí)發(fā)現(xiàn) ，結(jié)果將是災(zāi)難性的……整個(gè)周末，開(kāi)源軟件xz被植入，引發(fā)了安全界的軒然。
研究人員驚恐地發(fā)現(xiàn)，在包括Red Hat和Debian在內(nèi)的多個(gè)廣泛使用的Linux版本中，一款壓縮工具被悄悄植入了惡意代碼！
微軟的安全研究員Andres Freund首次報(bào)告了這件事。
他發(fā)現(xiàn)，在這款名為xz Utils的工具的5.6.0和5.6.1版本中，都含有惡意代碼。
而且，這段惡意代碼極其復(fù)雜難解。
扒著扒著人們發(fā)現(xiàn)，這段代碼是由一位名為Jia Tan的用戶（JiaT75），通過(guò)四次代碼變更（也即在GitHub上「提交」）的方式，植入到了Tukaani項(xiàng)目中。
這樣，攻擊者即使沒(méi)有有效賬號(hào)，也可以直接從SSHD訪問(wèn)系統(tǒng)了。
（SSHD是一個(gè)關(guān)鍵的二進(jìn)制文件，負(fù)責(zé)SSH連接的工作。）
目前，GitHub已經(jīng)禁用XZ Utils代碼庫(kù)，且還未收到漏洞被利用的報(bào)告

原文鏈接：XZ惡意代碼潛伏三年，差點(diǎn)引發(fā)核末日？投毒黑客身份成謎

聯(lián)系作者

文章來(lái)源：新智元
作者微信：AI_era
作者簡(jiǎn)介：智能+中國(guó)主平臺(tái)，致力于推動(dòng)中國(guó)從互聯(lián)網(wǎng)+邁向智能+新紀(jì)元。重點(diǎn)關(guān)注人工智能、機(jī)器人等前沿領(lǐng)域發(fā)展，關(guān)注人機(jī)融合、人工智能和機(jī)器人對(duì)人類(lèi)社會(huì)與文明進(jìn)化的影響，領(lǐng)航中國(guó)新智能時(shí)代。