高达450万个假星标泛滥成灾

GitHub上假星标泛滥：研究揭示恶意软件仓库伪装现象及其背后的风险

IT之家报道，世界最大的开源社区GitHub近期引发了广泛关注，原因是其存在一项重要的功能——“Star”（星标）。
用户可以方便地为心仪的仓库或话题打上星形标记，这对于后续搜索和理解项目的热门程度具有积极意义。
而在这背后，却隐藏着不为人知的隐患。
据外媒CyberInsider本周四的报道，卡内基梅隆大学和北卡罗来纳州立大学的研究人员发现，GitHub上存在着多达450万个人为增加的假星标，大部分被添加在含有恶意软件的仓库上。
这背后的动机，却是让人心生警惕——付费刷星标服务。

GitHub的星标功能被视为判断仓库流行度和质量的重要标志。
一些用户正在利用付费服务来提升仓库星标的数量。
此类服务的费用大致为每个星标0.1美元（约合人民币约等于当下的汇率价），且不同的服务间存在着价格差异和购买策略的微调，例如最低订单量和星标授予时间的不同。
这些看似光鲜的仓库数字背后，实则可能隐藏着巨大的风险。
那些看似拥有大量星标的仓库可能会误导开发者和组织认为它们是值得信赖的项目，即便这些仓库的质量较差，甚至可能含有恶意代码。
它们甚至伪装成游戏作弊工具或虚拟货币机器人相关工具，实际上却在传播混淆加密后的恶意软件，危害系统安全和数据隐私。
这类伪装成良性工具的恶意软件更是难以被识别和防范。

为了揭示这一问题的严重性，研究团队对数十亿条GitHub活动数据进行了深入分析，并开发了一款名为StarScout的工具用于检测这些虚增星标的仓库。
通过分析从2019年到2024年的数据，研究人员发现存在虚增星标现象的仓库数量达到了惊人的数字。
尽管GitHub在删除虚假账户后，这些恶意仓库的星标数量可能会有所下降，但这种误导行为仍然持续并对社区产生了严重影响。
特别是到了近几年中，这种现象更是愈演愈烈。
在短短几个月内，某些拥有超过50个星标的仓库中就有高达约16%涉及虚增星标行为。
更糟糕的是，超过7成的虚增星标的仓库被揭示与钓鱼诈骗或恶意软件的伪装行为相关。
这些直接威胁到软件供应链的安全性和稳定性，成为整个开源社区中一颗隐藏的毒瘤。
它不仅干扰了项目的真实反馈和评级机制，还可能导致用户面临安全风险和数据泄露威胁。
为此呼吁所有开发者和组织在使用GitHub时保持警惕提高鉴别能力谨慎对待那些看似光鲜的数字和表面的信誉，同时要善于利用开源社区中的多种信息源和技术手段共同防范虚假行为的存在并密切关注GitHub上的警告和安全公告确保自己的数据安全和个人隐私的安全免受侵害成为一项至关重要的任务这不仅是保护个人利益的必要措施更是对整个开源社区的责任和贡献。
如需了解更多关于该研究的信息可点击本文地址进行查阅获取更多一手资料和数据支持。
对于GitHub来说未来也需要进一步加强对虚假行为的监管力度提高平台的安全性和可信度从而保护用户和社区的健康发展成为一个更加安全可信的开源社区未来之路仍任重道远需要我们共同的努力和坚持才能确保开源精神的健康发展并为整个社会带来更大的价值。

---

---

相关标签： GitHub、

上一篇：动画剧集英雄联盟双城之战第二季重磅上线，全

下一篇：支持与苹果iPhone互传动态照片