我被社工钓鱼攻击：藏在 Git 钩子里的恶意代码
来源：frankwiles.com — 2026-10-02
📋 概述
作者 Frank Wiles 收到一个看似正常的 EdTech Web 项目咨询，对方要求在会后签署 NDA，并共享了一个 Dropbox 文件夹。他在文件夹里发现了一个 .git 目录，对方却让他“切换到 NDA 分支”去填写。正是这个反常要求暴露了骗局：.git/hooks 里藏着一个真实的 post-checkout 钩子，会从 Vercel 应用下载对应操作系统的二进制文件、赋予执行权限并运行，随后自删除，属于典型的供应链攻击。
🔑 核心要点
- 攻击者伪装成 EdTech 项目招聘方，用正常商务流程降低戒心
- 恶意代码藏在 .git/hooks/post-checkout 钩子里，切换分支即触发
- 载荷通过 Vercel 应用做命令与控制，下载系统专用二进制后运行并自删
- 真实动机是窃取作者的 GitHub 账号与客户访问权限
- 作者已通知 Dropbox 与 Vercel 安全团队 下架相关账号
💡 金句
这些家伙今天没能得手，但我不难想象有人会中招。Git 是我们日常工作流的核心，务必加倍警惕、像老鹰一样盯紧自己的凭据。
👍 0
👎 0
← 返回 Lobsters 首页