周四，GitHub发布了一项安全警告，警告称一种新的恶意软件正在其网站上通过被诱捕的Java项目传播。

这个恶意软件被GitHub的安全团队命名为Octopus Scanner，它是在使用Apache NetBeans IDE(集成开发环境)管理的项目中发现的，Apache NetBeans IDE是一个用来编写和编译Java应用程序的工具。

GitHub表示，根据3月9日从一名安全研究人员那里得到的情报，它在其网站上发现了26个上传到网上的存储库，其中包含章鱼扫描软件恶意软件。

GitHub表示，当其他用户下载这26个项目中的任何一个项目时，恶意软件就会像一种自我传播的病毒一样，感染他们的本地电脑。

它将扫描受害者的工作站以获得本地NetBeans IDE安装，并继续深入开发人员的其他Java项目。

该恶意软件可以在Windows、macOS和Linux上运行，然后下载远程访问木马(RAT)作为感染的最后一步，允许八达通(Octopus)扫描器操作员在受感染的受害者的计算机中搜寻敏感信息。

GitHub表示，章鱼扫描活动已经进行了多年，最古老的恶意软件样本是在2018年8月上传到VirusTotal web扫描仪上的，在这段时间里，恶意软件一直在畅通无阻地运行。

GitHub表示，虽然它在其平台上只发现了26个上传的项目中含有Octopus扫描器恶意软件的痕迹，但它相信，在过去两年中，还有更多的项目被感染。

然而，攻击的真正目的是在从事敏感项目或主要软件公司内部的开发人员的机器上放置一只老鼠，而不一定是毒害开源Java项目。

RAT病毒会让攻击者获得窃取有关即将发布的工具、专有源代码或更改代码以启用企业或其他闭源软件中的后门的机密信息的权限。

GitHub的安全团队在周四的一份报告中表示:“有趣的是，这个恶意软件专门攻击了NetBeans的构建过程，因为它并不是目前最常用的Java IDE。”

“如果恶意软件开发人员花时间来实现这个专门为NetBeans的恶意软件,这意味着它可以成为一个有针对性的攻击,或者他们可能已经实现了恶意软件等构建系统,MsBuild, Gradle和其他人也可能蔓延,“GitHub补充道。

“虽然影响构建过程肯定不是一个新想法，但看到它被积极部署并在野外使用，肯定是一个令人不安的趋势。”

GitHub没有公布这26个中毒项目的名称，但公布了Octopus Scanner感染过程的详细信息，因此NetBeans用户和Java开发人员可以查看他们的项目是否被更改。