过去几个月间，在github网站上发布代码的开发者陆续遭到攻击，这些攻击都使用了一种鲜为人知却切实有效的网络间谍软件。攻击始于1月份，通过精心构造的恶意邮件吸引开发者注意，如请求他们为开发项目提供帮助或邀请他们参与有偿定制编程工作。
邮件中的.gz附件包含word文档，其中嵌入了恶意宏代码。运行后，宏代码会执行powershell脚本，连接远程服务器，下载恶意程序dimnie。根据palo alto networks（pan）研究员所说，dimnie至少从2014年就出现了，但是一直默默无闻，直至今日，因为它将矛头主要对准了俄罗斯用户。
还有不同的模块分别进行键盘记录、屏幕抓取、与计算机中的智能卡交互等等。甚至还有个自毁模块，可抹去系统驱动中的所有文件，以销毁恶意软件踪迹。攻击者从受感染计算机窃取数据后对数据加密，并将数据添加到图片文件头中，以绕过入侵防御系统。
虽然pan并未将这些攻击归咎于某一特定团体，但恶意软件特征与近期疑受国家支持的攻击明显类似：使用嵌入恶意宏的文件、使用powershell、将恶意代码直接加载入内存、使用秘密的命令与控制通道和数据外泄技术、高度定向的钓鱼行动等。
开发者对于网络间谍来说具有很高的价值。他们的计算机常含有私有信息及所在公司网络与系统的访问凭证。雅虎数据泄露事件就源于一位半特权员工轻信了鱼叉式钓鱼邮件，最终导致黑客获取了5亿用户的账户信息。
他们这份报告得出了如下结论
the global reach of the january 2017 campaign which we analyzed in this post is a marked departure from previous dimnie targeting tactics. multiple factors have contributed to dimnie’s relatively long-lived existence. by masking upload and download network traffic as innocuous user activity, dimnie has taken advantage of defenders’ assumptions about what normal traffic looks like. this blending in tactic, combined with a prior penchant for targeting systems used by russian speakers, likely allowed dimnie to remain relatively unknown. customers are protected by ips, dimnie is detected as malware by wildfire, and autofocus customers can see related samples using the dimnie tag. we are also including iocs for this malware family dating back to 2014 which include domains from dns lookups (appendix a) and dropper hashes (appendix b). iocs specifically mentioned in this post are included in the next section.
dimnie攻击看似专门针对github网站（该网站提供免费源代码托管服务）上的开发者。这类人包括大型公司开发人员和业余时间发布个人开源项目的开发人员。
1月份在回应一邮件攻击报道时，mozilla策略工程师gervase markham称，他的一个邮箱曾收到过类似信息，而这个邮箱地址仅用于登录github。这让他相信这种定向攻击可能是自动发起的。
攻击者在进入源代码库和分发服务器后，可在软件项目中注入后门或将编译好的二进制文件变为木马。这种事曾多次发生，例如，托管在项目官方网站上的transmission bittorrent客户端（macos版本）曾两度被发现含有恶意软件。
原文发布时间：2017年3月31日
本文由：csoonline 发布，版权归属于原作者
原文链接:http://toutiao.secjia.com/attacker-attempting-into-back-door-in-github-open-source-projects
本文来自云栖社区合作伙伴安全加，了解相关信息可以关注安全加网站