知名开源软件暗藏木马？揭露蓄谋长达2年半的罪恶！

BGM:
007情报员
欢迎订阅👉is.gd/p1FPdr
Welcome to subscribe👉is.gd/p1FPdr
喜欢我的视频，请按赞、分享哦~
Like my video welcome hit like and share it~
开启小铃铛第一时间接收最新资讯~
🔔Light up the little bell and receive the latest news first
#木马 #XZ #微软 #黑客 #病毒 #威胁 #供应链投毒 #linux #Github

[@MiohitoKiri]

影片中沒有提及原理後門原理，給那些不了解的人 簡單來說，xz 的漏洞劫持了 sshd 的驗證函數，可以用特定的 public key 登入 因此只要每次 ssh 登入時都會跑一次流程，其中驗證函數的 code 存在一些 bug，在執行時 CPU 使用率異常增高，才被發現

[@atussentinel]

这是还没被研究透的时候的说法。现在已经明确了是劫持sshd的证书交换，如果收到了黑客特定私钥签名的packet就会利用sshd的root权限运行任意代码。需要运行的代码是伪装成证书交换packet的payload注入的。

[@timmy61109]

但說真的，其實 ssh 本來就很多漏洞了，因此我認為 ssh 會有漏洞也不是新鮮事，只是這個是透過內部將資料放入，變成比較麻煩。

[@crisliu2010]

所以 sshd 的驗證函數不是自己做的嗎? 用的是其他library?

[@timmy61109]

@@crisliu2010 其實現在很多軟體都是引用開放的函式庫，所以 sshd 本身沒有製作是正常的。 以 sshd 應該會用了很多 openssh的函式庫

[@litfal]

那個微軟工程師有夠認真欸

[@andyjonwei]

真的，超猛的0.5秒也可以這樣追根究底

[@36CGMA]

因為微軟被駭客針對漏洞幾十年

[@samplempg]

@@andyjonwei 事實上 0.5 秒差很大, 頂尖的高手都很敏感的, 一點點的"不一樣" 或是怪怪的都會查個褲底翻.

[@samplempg]

@@36CGMA 你沒搞懂, 微軟一堆軍用的後門, 在檯面上只能裝做漏洞被發現而已, 很多時後寫信去通知卻故意不修或是拖延你以為是什麼原因阿...呵呵.

[@seanzhang3873]

@@andyjonwei 0.5秒的延迟叠加起来会很慢的。想象一下，假如循环运行1000次，那延迟是不是就是500秒了。

[@user-hz6qz9ft9e]

這個Jia Tan在一個已經長期穩定運作的壓縮軟體更新也太快了(要知道越穩定的工具越難改)，而且這麼隱蔽謀圖不像是那種普通黑客只是為了一時的勒索，像是為了更長期的計劃，感覺後面很可能是個國家養的團隊，圖謀的各Linux發行版或Nas系統，絕非一人行為。

[@user-qf2fw3be6f]

光是提交commit的速度就讓人覺得可怕...

[@vincent6377]

一定是大陆的黑客，它们就这个尿性

[@atussentinel]

是全职的，符合9am-5pm的上班时间（依照commit时间转换到UTC+2），有节假日有双休。并且此账号只用来干和这一件事相关的事，没有参与其他开源项目的记录。引用wired的说法就是"very busy programmer"，当然应该是一个团队

[@rtgbhnkbn7004]

100%国家队， 中共国，国家队 感谢那个微软工程师的较真 避免中共国渗透

[@limtianyih]

終貢嘿客軍隊

[@tevhiykoko3912]

原作者心裡已經有問題了 還被這樣搞 有夠衰

[@Haru-rl8qp]

能具體説説嗎

[@THEtamashika]

@@Haru-rl8qp 影片裡有說...

[@alargeone]

申手黨白嫖嫖到死

[@georiashang1120]

后果确实挺严重，污染整个linux源

[@WintelTang]

其實這算是一個日後開源軟件會出現的問題 現在活躍的開源程序員，總有一日會到中年，退休，或其他幸運或不幸的事，弄到負責人冇心再保持項目，外部有很多不錯的計畫，怎致是目前沒有代替品 但如果一直沒有有交接，日後這些開源軟件總會有一日無法在當代系統使用 但如果有人交接，就可以出現今次的問題 當然我知道這是開源計畫隨時可以複製出來，但有原本的人的交接給新人，效率應該會比直交接複製方便給少一些問題吧

[@tsoiyf001]

但其實重點是，商業軟件這種後門更多，而且幾乎沒辦法檢驗

[@user-rl3pt7kr3v]

以後有AI呀！檢驗程式碼問題更快

[@WintelTang]

​@@user-rl3pt7kr3v ai 不可以取代計畫負責人，只可以減少他們的工作量 但如果計畫負責人中了彩票不如在工作呢? 如果負責人不幸因病或死忙再無法工作呢?

[@WintelTang]

@@tsoiyf001 商業軟件我不擔心，能賺的公司他們就會自己把閞你 沒賺錢的，只要一出事就準備結業 賺大錢的公司，只要一出事，美國的律師團根本不會和你客氣... 所以除左軟件公司沒有資訊，否則他們不可能完全無視這個問題 再說他們要導入AI 檢查應該會更容易

[@mickypeng1451]

@@user-rl3pt7kr3v說真的我不太相信這種底層的東西Ai找得出來

[@changhome1121]

跟之前華為提交的補丁有後門很像，但這個更高級直接變成維護者🤫

[@jkyhd]

這是開源的好處與壞處，壞處是任何被信任的人都可以在裡面最壞事，好處是壞事會被所有人有機會察覺到。如果閉源，壞人不容易進入內部修改，但如果有內部的壞人做壞事，那可能就很久*N年才會被發現

[@ryanminato1735]

这次的发现过程和开源闭源没什么关系。ms的工程师以为是有性能bug逆向工程发现的。 反而证明谁没事闲的天天review你开源的代码，就算流行的库也没人在review。

[@lefz9298]

你说的这个坏处闭源一样严重啊，闭源项目的开发工作被外包给别的团队或者个人又不少见

[@ryanminato1735]

@@lefz9298 商业软件没有。商业软件给你有bug也要维护要修，不管他怎么写出来的，他卖给你就要负责。 开源给你的代码是AS IS的，你要用就是自己负责。你应该签CLA的时候也见过，你可以为你可以为你的代码提供无偿，有偿或者根本不提供任何支持。

[@minsekfau3218]

​@@ryanminato1735根本不是好嗎? MS的工程師自己都說不擅長逆向工程了，他是發現性能問題後檢視源代碼的

[@ryanminato1735]

@@minsekfau3218 5:14 笑死

[@net-hopper]

我現在的xz版本是5.6.1。降級不一定就能解決問題，毕竟已經佈局兩年多了。最好能從源代碼的編譯腳本中找到那段代碼，去掉，重新編譯安裝。要解決後患還要清理被它預裝了的後門。

[@tianyang5241]

我们代码检视基本都只看业务代码，要是在ut里面藏私估计也难发现

[@TimePicker]

十几年前因为赚钱宝加了你微信，看你自媒体越做越好深感欣慰。加油

[@JIMMYLO-sf1nr]

所以說作為一名駭客最重要的是社會工程學

[@BounceFish1218]

你說的倒是真的...那本黑客聖經 裡面8成都是在講社會學.. 可以跟保全混熟的技術比駭客技術好用跟方便高效重要百倍不只..

[@JIMMYLO-sf1nr]

@@BounceFish1218 真的

[@alargeone]

這個影片真的是在看神仙打架，0.5秒的異常抓出木馬

[@cbyou5402]

本来是0.01秒的， 变成0.51秒不会很奇怪吗？

[@georiashang1120]

5:47 视频中演示的那两行是不一样的xz --version(或xz -V)用的xz这个命名空间中的xz程序，一般是安装在usr/bin中的，而./xz是调用当前路径下的xz程序。

[@jianzou6977]

大佬说一下LNMP的事吧

[@samztang953]

在台面上，很大概率是会不了了之。因为公开诉讼要有实质性伤害结果，才能起诉。 但台面下，各国的情报部门会抓样本分析，等等工作要做。

[@yunyong8615]

Jia tan这个用户名已经暴露了他究竟是谁，加上这个木马程序的目的是什么，我可以武断地认为是中共情报机构。

[@atussentinel]

@@yunyong8615 在你相信jia tan这个名字是真名的时候你以及暴露了智商。另外此人曾用过jia cheong tan这个名字，两个都是假名你根本不需要去多想

[@jackywong743]

@@yunyong8615但是你換個角度想想，如果是那邊的特務，怎麼可能從名字這個這麽low的方式暴露…

[@pilotyuan]

@@yunyong8615 搞笑，所以罪犯会用真名去犯罪吗？

[@albertwang5974]

@@yunyong8615 哈哈，你的这个疑问暴露了你的智商！

[@user-oh8go6mn6b]

現在只看到一個，隱藏的到底有多少個呢？

[@wkj]

這主題很讓人好奇 但我也不知道為什麼演算法會推給我#

[@djnmg]

也推给了我😂 不知道为什么，我最近也没搜这玩意真的

[@Dark-M-Snake]

很多人說開源好處是容易被發現，但是閉源有企業內部的審查機制啦，也有項目的負責人，不像是開源社區大家無償檢查的，負責人必定鉅細靡遺的檢查，發現新版本包括運行速度變慢的事情，在經過檢查過才會被發行出來，而非先發行才被檢查。而且後台程式碼撰寫者也不會像這次一樣沒人知道他是誰 就算萬一真的找不到人(例如離職員工所植入)，整個供應鏈也能要求程式提供的企業負責賠償，總能找到責任單位

[@idknamestopit]

那這樣第一方的直接投入惡意程式也會更難發現，事情可沒有那麼簡單

[@Dark-M-Snake]

@@idknamestopit 就是那麼簡單，因為如果企業真的做了這種事情，那肯定會迎來非常嚴重的司法訴訟 對於大型企業來說長期營運，經營商譽肯定是比投毒追求短期利益來的好 這也是為什麼科技發展數百年卻很少大型企業主動投毒的案例，如果有第三方想誘惑大企業投毒，也必須支付極為高額的金額，才能讓大企業覺得比認真做企業還誘人。 至於小型企業比較有機會出現惡意投毒的情形，但小型企業影響力小市占率低，其他大型企業並不會選擇這種軟體。 大企業出現毒的情況比較多是駭客或間諜，但這種情況企業內部的糾錯機制就能發揮很大的作用。 反之開源軟體就有可能出現極高市佔率但卻沒人知道幕後維護者是誰，包括這個事件到現在都不知道幕後投毒的人是誰。 也就是做開源軟體的投毒可以說是收益很高但是風險卻很低的事情，第三方想花錢植入惡意程式需要花費的金額也少得非常多

[@ShanghaiShuguangAnshabu]

这就叫专业啊

[@wtfJunk]

如果不是开源，你可能连发现的机会都没有

[@Chuan-wh5ek]

但如果不是開源 他就會被抓了

[@OneNok_HK]

@@Chuan-wh5ek 都沒發現你要怎樣捉

[@device2208]

有很多打着开源的名义半开源的，还有的出名后不声不响换成半开源，使用自动更新的还蒙在鼓里。

[@ROSEAREREDVIOLETSAREBLUE]

0.5秒差很多，最少夠一個線程執行超過500行代碼，而現在電腦都是多線程的 只是除非有bug沒有人會認真去看執行資訊 還有伸手黨太多了，如果讓免費的東西承擔你的重要物品或事業，讓別人用愛幫你維護，那麼你的網路安全會很脆弱

[@albertwang5974]

这种情况在未来的AI开源模型中将更加严重！

[@user-hidden1032jdp]

3:08 又是社会工程学

[@h_h_y]

真的有魔高一丈的感覺

[@user-hi4wv7zo5h]

請問 邊亮的影片哪裡找的到？

[@aaaytb]

B站：BV1Gq421w7rg

[@elveshen]

中國人?? 賈潭?? 東北的?? 中共指使?? 我覺得可能性很大...

[@user-uu3ws7tt6o]

這個真的很難發現，但我覺得AI可以發現。 例如你問AI這個腳本哪裡有問題，他能點出那塊無法正常運行的區塊。 開源至少有很多人會經手程式碼，商業軟體是開發商說得算，沒人看得到裡面塞了什麼進去。 其中也包括一些網路免費提供的軟體。

[@hamster6093]

現在AI 對資安分析還是沒有那麼厲害的 而且靜態分析有其上限 通常要動態分析 目前AI沒辦法做這種事情

[@ryanminato1735]

不太能。目前的SOTA用GPT-4做base解决GitHub Issue的成功率也只有14%不到，这已经比GPT-4单独要强8倍了。 看这篇： MAGIS: LLM-Based Multi-Agent Framework for GitHub Issue Resolution arXiv:2403.17927 还有这篇昨天才传到arxiv，可能相关但我还没读所以不保证的。 The RealHumanEval: Evaluating Large Language Models' Abilities to Support Programmers arXiv:2404.02806

[@user-uu3ws7tt6o]

@@hamster6093 如果說邏輯錯誤，AI判斷不太行。但這種藏錯字的它們很擅長。 還有那種兩個字符相似;:差異，人類一眼瞄過根本找不到，但AI會立刻發現。

[@hamster6093]

@@user-uu3ws7tt6o 重點他就是看出來出的藏錯字，你現在他說出來很簡單，但這個是runtime 編譯的爆錯，runtime錯誤千奇百怪 這邊就是多一個點，很多時候是要動態測試才知道 一樣AI目前不會執行任何給定的程式碼 僅是靜態檢查而已

[@calvinlam8953]

@@hamster6093 多了一個點不是runtime error，是syntax error了，屬於不需要編譯/執行就能看出有問題的代碼。

[@ofjejdi9f]

哈哈這就是我想找的影片

[@luxhk3377]

拼音，你懂得

[@georiashang1120]

这就是魔鬼藏于细节的典型案例对吗？

[@jasonlin5884]

能否補充解釋一下 為何只是xz 裡埋著壞蟲，反而在sshd 這伺服軟體要產生問題？ 機制是什麼？

[@user-cw1oq7lg9q]

现代的软件并不是全都自己写的，就像汽车厂商不会自己造轮子，而是请代工一样。sshd这辆“汽车”用了xz这个“轮子”。还给了他全部的权限，然后就炸了。

[@MiohitoKiri]

影片中沒有提到這個後門具體做了什麼事 簡單來說這個後門劫持了 sshd 的驗證 function，可以用某一把 public key 直接登入 因此只要登入時都需要跑一次驗證流程，剛好這傢伙的 code 寫爛了會跑特別慢，才被發現

[@jasonlin5884]

@@MiohitoKiri 請問 是“執行了帶著陰謀的xz 壓縮工具，它就感染了liblzma,而 sshd 要用這個lib, 所以就變成透明了”，是這樣嗎？ 可是這樣，要登入系統的話，仍然還有賬戶/密碼這個關卡堵著；不是嗎？

[@atussentinel]

@@jasonlin5884 私钥就是密码。public key是公钥，和私钥是一对。如果一个服务器被注入了黑客的公钥，黑客就能拿他的私钥登录。 安全性而言私钥比密码等级高。私钥就相当于一个几千位长的密码，按字符算的话大概几百到1000个字符

[@kerati-]

​@@jasonlin5884我記得並不是真的要登入 sshd？而是透過 liblzma 裡面埋的 public key，驗證攻擊者的 private key，如果驗證成功了就可以直接 system() 執行 payload 裡面帶的指令

[@freddyli5356]

5:35 如果一個核彈發射台運行了，我們可以一起重啟😃

[@epcdiy]

这个要暴露公网才行，核弹这种军事级设备一般都是专网

[@freddyli5356]

@@epcdiy 有蹲發射坑不摸魚的嗎？啊！真的沒有！不連公網玩不了Call of duty~🥲

[@freddyli5356]

@@epcdiy 基本上哪怕發射台有連公網的網線，只要沒連到軍用的系統基本上不會有問題，而且全球有核武的軍方也𣎴會貪污對吧？那就不存在廉價外聘設備維護導致被暗渡陳倉的風險，再者有發射指令也得裏面的導彈是真貨。

[@LeaveHome]

前兩天剛下載最新的ubantu ，怎麼辦，是不是該卸載了。。。。

[@minsekfau3218]

Ubuntu和所有基於Debian的穩定版本不受影響

[@LeaveHome]

謝謝@@minsekfau3218

[@xorpop]

不是還沒整合進去嗎？😂

[@xingliu9616]

不需要，问题代码并没有整合进操作系统。

[@ludwig1672]

去中心化代表着去责任化

[@xorpop]

看來以後代碼經過AI覆核會變成必須程序

[@frankyonng1710]

没有996的，才是好工程师

[@jamesgreen4636]

好像是不能输入xz-v检查，不然就运行了

[@rongziwang8722]

是xz -V，是支那病嗎？影片有說了。

[@samsonmulder1722]

这个在系统编译的时候就已经劫持ssh了

[@user-qy4jw7uq8p]

所以零信任很重要

[@harrycoppock8000]

不懂就问，GitHub既然有隐私保护，没人知道开发者真是身份，Clash的作者为什么被删库

[@cbyou5402]

隐私保护只是说你不必上传身份证验证本人。 你真想告诉所有人你的身份那也没人拦着你

[@user-oh8go6mn6b]

這個駭客名稱很像 「吃痰」（台語發音）

[@user-oh8go6mn6b]

@@Ali86322 念台語看看

[@limtianyih]

甲探，甲級探馬團

[@kevin780313]

SSD慢了0.5秒.... 太屌了 這樣都能發現

[@peli2000kimo]

是SSH不是SSD，這微軟工程師應該是電競工程師了，會注意程序網路延遲速度代表他的程序很需要零時差環境。

[@skibowu]

田佳同学很厉害啊

[@xiaoyangsun2372]

大大打击开源社区的信誉😢

[@mutang7522]

相反，信誉得提升。开源都这么难发现 。闭源默认都有后门了 。如果真不想用后门。直接放弃任何闭源。全用开源还有一线生机

[@II-fz3vl]

有規律性的上班時間，甚至能看出勤休痕跡+團隊行動 不意外的話，又是牆國人在幹的好事😊

[@oliverli9630]

別一個問題就說開源群體的管理有問題啊。。。現在不就有人公佈這個bug了嘛。。。開源群體的價值就是所以用戶都有修理權，而且神奇的是，微軟工程師也參與debug。。但是proprietary的software的話，要看源代碼的門檻那麼高，背後的問題可能更多，而且還要他媽的“合規”。相對來說，linux肯定安全很多。其實，只要你用電腦，都會有這些問題啦～

[@slgvictorwang]

為什麼有人會去注意 比平時慢了0.5秒?! 佩服

[@Thorne_Illusii]

可能機器性能好，經常看計時

[@JetSL9630]

換個方式說，像是你手機每次解鎖都是0.5秒，更裝了某個app後，忽然要1秒才能解鎖，你就會意識到是剛才裝，或是昨天裝的app可能有問題

[@kingyo_paraen]

在使用電腦的環境下，0.5秒這個時間差也算明顯了 比如電腦打字時的這個一閃一閃的符號→｜，它閃爍的間隔差不多就是0.5秒 平常很常使用電腦的人突然有一次打開資料夾時等待了｜一次閃爍的時間，真的會突然疑惑

[@jackywong743]

500ms還是很明顯的，比如一個簡單的請求才幾十上百ms，今天突然上了500+ms，就很容易發現問題了

[@timmy61109]

其實 0.5 秒蠻明顯的

[@willo7979]

能不能专题介绍一下JiaTan

[@endgfw]

编译器都出问题了，还能咋整

[@user-io4rn6rk9h]

这个人可能是个中国人，jiatan。应该是谭佳，看上去是个女人😂

[@lenoxm2041]

这种免费的开源软件，发现了木马也不能拿Jia Tan怎么样，因为根本不知道真实的身份。微软最起码知道每一行代码都是哪个员工写的。

[@BarbBradford]

那win11系统靠谱吗，闭源的，而且有60多G，真搞不懂为什么这么大

[@eleven64]

​@@BarbBradford请你说一个更靠谱更好用的

[@ryanminato1735]

@@BarbBradford 靠谱。去年windows的cve比linux更少，或者你最少不能说linux比windows更靠谱。 而且linux内核的对比对象不是windows而是windows内核。

[@wtfJunk]

微软那些不叫做“木马”，叫做功能，你甚至连发现和批判的资格都没有

[@BarbBradford]

@@ryanminato1735 少多少，照理说开源的应该更容易发现问题和解决问题

[@laingsongting2810]

黑吃黑😂😂😂

[@swiislam]

看到简介写：拒绝拼多多商单，果断订阅三联！

[@littlePervert_yt9527]

所以沒有絕對安全的系統

[@36CGMA]

IOS15以前相簿都是門沒關，APP可以任意存取，用戶還覺得自己處於保護之中

[@tsmc689]

連造價過億美元的軍用軟件都只能「拖延」被破解的時間，民用軟件又怎麼可能完全絕對安全？

[@peli2000kimo]

有啊，但你不會想用，不要說系統跟不上時代，連硬體可能還要自己敲代碼運行。然後連網路都不能有，因為有駭客會特別關注冷門系統用戶，至於為什麼 想像一下就知道了。

[@user-xp5bs6rx1b]

當然，這世界都沒有絕對安全的人了、怎麼可能有絕對安全的系統

[@jazz8888]

并不一定是密谋2年，可能以前就是单纯贡献，但后来因为缺钱、心态等问题，想到能否通过这个项目控制肉鸡赚钱，才有了这档子事

[@albertwang5974]

一定是预谋已久，因为身份掩藏得太严密！

[@zrxiang4187]

一般情况下一个GitHub/开源软件的主要贡献者的真实身份是很容易查到的。他名字也是假名 编的

[@AfroJewelz]

有可能 毕竟如果真是蓄谋已久就不至于如此明目张胆急功近利

[@atussentinel]

这个账号2年来只用来做这一件事，而且是全职，非常偶尔参与的其他项目也都是和这件事相关的，甚至也不参与其他项目的讨论组。 真实的开源项目贡献者多少都会参与其他项目。

[@PhDassice]

我是5.4.1

[@kmtshawn1191]

中国政府😂

[@alanyao]

没有薪水的工作? 找大学，设立project呀。大学生的assignment哪一次是有薪水的呢?还要学生自己付钱呢。

[@vichikaru]

所以沒什麼驚人技術，還是乖乖用window吧，出事了找人負責也易點

[@shinchin384]

开源项目那个莫名其妙的安全感 其实就是黑客最好的伪装 每个人都以为一定有人会好好检查代码 但第一 不一定会有 第二 你也不知道好好检查代码的人到底是谁

[@abceabcd3685]

那还是比不开源的安全。

[@shastasir9715]

開源可以投毒，閉源是開後門也不會跟你說

[@hanglam5226]

黑客并不是贬义词，不要以偏概全

[@user-io4rn6rk9h]

😂

[@dmysql6823]

一坤年

[@user-tv9ev6bf9t]

用的Linuxmint 不受影响

[@ziborInOKC]

你说，会不会，这里所有出场人物都来自微软呢？

[@GavinChangCLT]

中國人不知道自己是世界最邪惡的國家😁

[@wl2015]

所以你的意思是说，有一个人发现了有人阴谋了两年投毒，把证据公诸于众，你不去好好查查投毒者的来龙去脉，最好如果和微软有勾结，通过找到他本人然后再找到和微软勾结的证据将他们一网打尽，反而直接没有根据的怀疑投毒者和受害者是一起演戏，引导大家注意力往迫害受害者的角度去，是什么用心？

[@user-zh6he5hm4c]

听名字像国人啊，唉

[@aaronsung1989]

應該不是, 黑客都會作個名字;外國有專家分析過, 他commit 都是在東歐時區的工作時間, 而且中國的大假期(e.g. 春節) 照樣很活躍

[@k.i.m.5506]

不要被名字迷惑。这子小子挖了这么深的坑， 不可能想不到这层超级基本的障眼法。来自中国的留学生满世界跑，随便拿个跟自己上过课的人名就行了。

[@user-mt6ec8ke4g]

就是的

[@user-jl1sk9xk2q]

看你的回复都觉得你有病

[@TaiwanNationStatusQuo]

忠囻網軍吧。應該不意外。

[@cwang801]

如果要懷疑美國政府的話 那更有理由懷疑中國 一個專制極權的國家憑什麼比美國更可信？

[@AfroJewelz]

🤣 我也怀疑是中华民国植入的 毕竟前科累累 急功近利这事儿吧 丫没少干过... 省省吧 专制国家还得要点脸 。民主集权了就可以直接卖屁股了

[@gigabytechanz9646]

所謂民主國家，亦祗不過是全力保護屠夫及提供武器去屠殺巴勒斯坦人！有甚麼可信？再說在阿富汗及Iraq 引發一百萬人死亡，幾百萬人受傷，這國可信？

[@ocloudx]

假設我是一個中國黑客高手. 立心要用一個網名干壞事. 我會否改一個有國家色彩的網名去做這件事？

[@Peace4Gamer]

这个思路就很客观，逻辑清晰👍

[@xorpop]

不知道，但是俄烏戰爭和現在中東紛爭，超過八成的駭客都是中國式的名字😂😂

[@CDTsuiPo]

有人分析过ja tan的提交代码时间戳。表面上看都是+8区时间，但这个人在中国的国家假期都在工作，而在传统欧洲假期都没有。使用夏日制时间转换，所以他们的时间有+2/+3。中国早就没有夏日制时间了。时间戳发现有上一刻在+8区，下一刻在+3区。还有他自己引用自己的邮件时间戳有冲突的情况。

[@user-fm2nt5wx3t]

你不太懂中國黑客的心態，之前已經有專家發文分析過中國黑客和其他地方的黑客的不同之處：通常黑客都是愈少資料愈好，要做到隱姓埋名；中國黑客就偏偏反過來，被捉到揭發的黑客（大多都是在其他國家本土被抓）反而大部份都用自己拼音名字或者富祖國特色的名字，專家結合政治考慮、社會現況等等得出一個簡單的結論：中國黑客或者背後都有一個龐大勢力撐腰，或者存在一個獎勵機制致使中國的黑客的心態是「揚名立萬」。

[@xorpop]

@@user-fm2nt5wx3t 不是這樣，中國黑客基本也是匿名優先，不過中國軍隊會大量招募黑客高手，所以中國黑客在對外攻擊時大多是事後公開訊息；其他時候大多是匿名的。也因為這個特性，加上一般民眾不了解中國黑客的作案動機竟然是進入體制吃公糧混吃等死，所以外國諜報組織特別喜歡用中國式的名字當代號，來達到混淆視聽的目的，萬一失敗也可以推給中國軍方，是十分方便的做法

[@JianHongChen]

免費的最貴

[@ncueBenson]

我都用windows付費但沒有木馬

[@JianHongChen]

@@ncueBenson付費不一定便宜

[@bravexample]

@@ncueBenson windows 本身就是木馬

[@minsekfau3218]

這都能扯? 你知道絕大多數維持電腦和互聯網運作的必要軟件都是免費的嗎? 那你還要不要用電腦?

[@JianHongChen]

@@minsekfau3218 是的，純屬鄉民無聊閒扯蛋，別太認真喔兄弟。

[@tungweitiong5251]

所以，当中国没有基础硬件技术（晶片）没有基础软件技术（OS）有勇气想把金融完全数据化，真的很大胆。 一次以OS 或硬体的缺陷发动的攻击，就可以让中国金融瘫痪。

[@waidts]

所以A股從07年的6千多點跌到現在還沒有起來

[@BarbBradford]

攻击那才好，不然ccp倒不了台

[@doutu4624]

所以美帝徒子徒孙们的命门都被美爹拿捏死死的

[@ryanminato1735]

闭源系统是商业公司用自己的商誉保证维护的，有后续服务，不像开源项目很多提交都是AS IS的。 这次的事说明开源更安全根本就是笑话，就连发现者都是逆向工程发现的。源码满天飞，谁天天review你的开源代码。

[@wtfJunk]

有人发现恰恰说明它是安全的，因为能被发现。微软苹果有后门能让你发现？

[@ryanminato1735]

@@wtfJunk 你又知道ms放后门了？愿意相信ms自砸商誉放后门，你是不是也相信登月是在录影棚拍的

[@ryanminato1735]

@@wtfJunk 你是不是也相信登月是在摄影棚拍的w

[@mutang7522]

微软摆明了有后门你能怎么办？开源还有可能是干净的 。闭源几乎不可能干净。

[@ryanminato1735]

@@mutang7522 你是不是也相信登月是在录影棚拍的w

[@Ashish_Yung]

我來個陰謀論，會不會就是這個發現慢了0.5秒的工程師，就是Jiatan？

[@devolapopola4583]

所以说还是中国自己的操作系统最安全

[@wtfJunk]

如果是反讽你很无聊，如果是认真你很弱智

[@devolapopola4583]

@@wtfJunk 你一个中国人，自己国家的系统都不信任，那你还当什么中国人

[@mutang7522]

你说得想微软没有自己的操作系统一样 。不一样中招。这个只是一个压缩软件 。和哪个国家的系统有毛关系。

[@Hosence_Studio]

当然安全，他们说他们自己是合理合法的查看你的数据

[@OneNok_HK]

確實 你可以跟網信辦一起看日本動作影片 有整個國家機構跟你一起看 安全感就上來了

[@user-xt7vq6pq3m]

期待华为的操作系统，美国的闭源系统真的不敢用

[@minsekfau3218]

原來Linux是閉源，笑死

[@mkunmgs651]

傻逼还不滚回去用华为

[@xingliu9616]

Linux啥时候成闭源系统了？

[@Potato-8964]

幽默闹钟

[@Hosence_Studio]

不查资料就来喷，暴露了你的智商

[@fungpuiwai]

Jia Tan像是哪國人的名字？

[@AfroJewelz]

中华民国？🤣

[@OneNok_HK]

@@AfroJewelz 你漏了人和共和

[@AfroJewelz]

@@OneNok_HK 有道理啊 共和党人民是真的很会hack,尤其是移民到自由灯塔的华裔人民心向自由啊

[@OneNok_HK]

@@AfroJewelz 你怎麼又再漏了'中華', '民'和國'

[@user-ms6ni5vj6w]

还得是微软

[@ap3964]

华人远离

[@rtgbhnkbn7004]

jia tan是政府人员

[@sookinchun4767]

又是中国

[@archangel0487]

這跟中國有什麼關係？ 你以為github也實名制阿，你要叫布萊德彼特都沒問題

[@sinoleao]

傻x，为什么不是韩国人？为什么不是井蛙？为什么不是盗取同班同学名字的白皮人？

[@0peter067]

肯定不是中国呀，Tan 更像是新加坡/马来西亚 的 陈姓，大陆姓 Tan 的 不多，跟何况 github 不实名，你想叫什么名字都可以

[@doutu4624]

斯诺登也是中国的

[@leech6579]

Linux 的漏洞 由微软的人发现 什么鬼？

[@33lee61]

是XZ的開源專案 不是Linux

[@little2wang665]

吉娜投毒