Github 账号被盗了

[mengyanshou]

对不起，是我太蠢了

起初是我在 moonlight-android 下提交了一个 Issue

然后有个人光速回复了我一条消息，让我下载一个 fix.rar 文件，我仅仅是在 Windows 上解压了下来

里面大概有 ranlib 相关的文件，我没怎么在意

随即那人便删除了回复，我都以为是他发错地方了

然后今天发现 Github 账号无法登录了

Github 开启了 2FA ，没什么用，现在账号已经看不到数据了，也登录不上，也无法用邮件登录，这个账号对我来说非常重要

我现在手上唯一还有的是那个 fix.rar 文件

我提交了 github 的 support ，请问还有什么操作空间吗

然后，不要下载解压任何 RAR 文件

[luckykong]

发来看看？

[mengyanshou]

https://nightmare.press/YanTool/resources/fix.rar
这百分百是个病毒程序，我正在尝试抓包看它发送的数据是什么，但是还没有抓到

[DiaoWang]

不是，2FA 都能跳过？然后还光速修改了你的登录验证信息以及其他身份验证方式？这有够厉害了。

[mengyanshou]

我的确打开了 2FA ，我现在密码已经无法登录了，用我 Authenticator 作为 passkey 能登录，显示账号被锁定了，所有的仓库目前我也都看不到了，之前的 username 是 mengyanshou

[mengyanshou]

我还是没有抓到对应的包，这个病毒提交了什么东西，目前我的猜想是 ssh key 等...

[r2829442630]

1

[r2829442630]

解压完是啥?没打开就中招了?

[Tabjy]

兴致勃勃开了个沙箱想看看 结果 op 是不是忘发压缩包密码了？

[mercury233]

@Tabjy #8 可能和这个是同一个
/t/1067998

顺便问下 OP 的 WinRAR 版本

[fulajickhz]

这种包如果放虚拟机里解压应该没事吧?

[cntvc]

Github 可能已经这些账户实施了封禁，因为被举报有滥用行为

我的一个 Issue 最近收到很多类似的 comment ，下载这个文件被卡巴斯基拦截，就立刻把 comment 删掉了，然而每过几分钟就会新增一个类似的 comment ，最后不得不 lock ，然后顺手举报了部分账号（举报时已经有部分无法账号访问主页了）

OP 可以尝试联系下 Github 看看账号能不能恢复

[vk42]

压缩包里面的文件列表，这是伪装成游戏了？
```
Archive: fix.rar
Details: RAR 5, encrypted headers

Attributes Size Date Time Name
----------- --------- ---------- ----- ----
* ..A.... 10215904 2021-09-16 17:01 icudtl.dat
* ..A.... 156939264 2021-09-16 21:12 libcef.dll
* ..A.... 6669910 2021-09-16 20:50 resources.pak
* ..A.... 126464 2020-09-09 15:20 Serilog.dll
* ..A.... 8704 2019-10-16 18:18 Serilog.Formatting.Compact.dll
* ..A.... 32256 2017-10-22 05:48 Serilog.Sinks.Console.dll
* ..A.... 245248 2024-08-26 04:45 x86_64-w64-ranlib.exe
* ..A.... 504832 2024-08-26 04:45 msvcp140.dll
* ..A.... 494571 2021-09-16 19:41 locales/am.pak
* ..A.... 526879 2021-09-16 19:41 locales/ar.pak
* ..A.... 565187 2021-09-16 19:41 locales/bg.pak
* ..A.... 728444 2021-09-16 19:41 locales/bn.pak
* ..A.... 347714 2021-09-16 19:41 locales/ca.pak
* ..A.... 547840 2023-09-17 13:48 locales/chrome_elf.dll
* ..A.... 355503 2021-09-16 19:41 locales/cs.pak
* ..A.... 2106216 2023-09-17 13:47 locales/d3dcompiler_43.dll
* ..A.... 4488904 2023-09-17 13:48 locales/d3dcompiler_47.dll
* ..A.... 10130560 2023-09-17 13:47 locales/icudtl.dat
* ..A.... 98275328 2023-09-17 13:48 locales/libcef.dll
* ..A.... 92672 2023-09-17 13:48 locales/libEGL.dll
* ..A.... 3922432 2023-09-17 13:48 locales/libGLESv2.dll
* ..A.... 246209 2023-09-17 13:48 locales/natives_blob.bin
* ..A.... 622687 2024-03-23 12:59 temp/cef_100_percent.pak
* ..A.... 700008 2024-03-23 12:59 temp/cef_200_percent.pak
* ..A.... 49771408 2023-09-17 14:45 temp/OpenImageDenoise.dll
* ..A.... 383856 2023-09-17 14:45 temp/tbb12.dll
* ..A.... 6003861 2023-09-17 13:48 updates/cef.pak
* ..A.... 279905 2023-09-17 13:48 updates/cef_100_percent.pak
* ..A.... 386884 2023-09-17 13:48 updates/cef_200_percent.pak
* ..A.... 3565138 2023-09-17 13:48 updates/cef_extensions.pak
* ..A.... 4916728 2024-06-25 08:53 updates/d3dcompiler_47.dll
* ..A.... 5183550 2023-09-17 13:48 updates/devtools_resources.pak
* ..A.... 10468208 2024-06-25 08:53 updates/icudtl.dat
* ..A.... 156939264 2021-09-16 21:12 updates/libcef.dll
* ..A.... 8049664 2024-06-25 08:53 updates/libGLESv2.dll
* ..A.... 567296 2021-02-09 07:12 DryIoc.dll
* ..A.... 39424 2019-11-14 23:35 FastRsync.dll
* ..A.... 204800 2021-05-08 06:08 ICSharpCode.SharpZipLib.dll
...D... 0 2024-07-21 11:50 locales
...D... 0 2024-07-21 11:50 temp
...D... 0 2024-07-21 11:58 updates
----------- --------- ---------- ----- ----
545653722 41
```

[ReactRails]

@DiaoWang 直接偷浏览器的 cookies 就可以绕过 2FA 了

[yanyao233]

大概率是直接盗 cookie

[RockShake]

用你的号去发同样的信息被封了吧，申诉看能不能解封

[boywang004]

吓得我赶紧去给 PC 更新下 winrar 版本……解压就中？可能是之前 CVE-2023-38831 那个漏洞？

[onesuren]

2fa 跳过，要不然就是把恢复码弄走了？

[nullc]

吓得我赶紧卸载 winrar ，换成 7-zip

[miaomiao888]

@boywang004 看上去要执行打开文件操作而不仅只是解压
https://www.cnblogs.com/GoodFish-/p/17715977.html
https://github.com/Garck3h/cve-2023-38831

[oooolongtea]

@nullc 7zip 能防止这样的恶意软件？