GitHub, taklit yazılımı ancak Hacker News'e çıkınca kaldırdı

Yazılım geliştirici Andy Brice, ürününün adını ve logosunu kopyalayan, kötü amaçlı yazılım olarak işaretlenen bir Mac kurulum dosyası dağıtan depoyu GitHub'dan kaldırtmak için 23 gün uğraştı. Blog yazısı Hacker News'in ana sayfasına çıktıktan yaklaşık on dakika sonra sayfa ortadan kayboldu.

Sahte bir depo

Brice, ticari lisansla satılan bir veri dönüştürme aracı olan Easy Data Transform'u geliştiriyor. 31 Ağustos'ta bir müşteriden, yazılımın GitHub'daki bir taklidini bulduğunu bildiren bir e-posta aldı. Depo, ürün adını ve logoyu izinsiz kullanıyor ve indirilmek üzere bir Mac .dmg dosyası sunuyordu.

Aynı gün depoyu GitHub'a taklit olarak bildirdi. Aldığı tek yanıt destek ekibinden gelen otomatik bir mesajdı.

Disk imajının içindeki kötü amaçlı yazılım

Bir meslektaşı .dmg dosyasını VirusTotal ile tarattı ve uzun bir kötü amaçlı yazılım tespiti listesi aldı. Dosyayı Isobuster ile inceleyince disk imajının arka plan görselinin değiştirildiğini gördü: yeni görsel, dosyayı açan herkesi kötü amaçlı yazılım uyarılarını yok saymaya çağırıyor.

Brice bu kanıtları 10 Eylül'de GitHub'a iletti. Hiçbir şey değişmedi. 23 Eylül itibarıyla ilk otomatik e-postanın ötesinde bir yanıt almamıştı; kendi ifadesiyle sıradaki adımı DMCA kaldırma talebi olacaktı.

On dakikada silindi

Kaldırma talebine gerek kalmadı. Yazı 24 Eylül'de Hacker News'e ulaştı ve depo yaklaşık on dakika sonra silindi. Brice bu zamanlamayı bariz bir ironiyle "tamamen tesadüf" diye niteledi ve sonucu kendisi çıkardı: GitHub'dan en temel desteği almak için bile Hacker News'in ana sayfasına çıkmanız gerekiyor.

Neden önemli

Brice, yazılımının korsan bir kopyasını kurup makinesini riske atan kullanıcılara fazla sempati duymadığını kabul ediyor. Asıl sorun taklit: tanıdık bir ürün adını arayan biri, resmi görünen ama düşmanca bir kurulum dosyası dağıtan bir depoya düşebilir.

Tavsiyesi basit: yazılımı mümkün olduğunca üreticinin sitesinden indirin. Bu olay ayrıca, ürün kimliği büyük bir kod barındırma platformunda kötüye kullanılan küçük bir geliştirici için destek kanalının ne kadar zayıf olabileceğini gösteriyor.