荒诞的黑客攻击

18 分钟内打进 GitHub

今年5月份，GitHub 的一台员工设备运行到了被投毒的 VS Code 插件。
这个插件累计有数百万次安装的 Nx Console，带病毒版本从上线到下架前后大约只有 18 分钟。
在发现入侵后，GitHub 立即隔离了受影响设备，并在当天至次日轮换重要凭据。

GitHub 表示，攻击者声称获取到了约 3800 个内部仓库，这与调查报告基本一致。

声称实施攻击的 TeamPCP 随后把数据挂到地下犯罪论坛，要求报价不得低于 5 万美元。他们表示只卖给一个买家，卖完就删除自己的副本；如果没有买家，就免费公开。

很明显，至少现在并没有出现随便下载 GitHub 内部源码的链接。
原始售卖帖子撤下后，TeamPCP 似乎转而与一个使用“LAPSUS$”名义的团体合作售卖，新的挂牌价升至 9.5 万美元（截止目前暂未售出）。我当时看到这里，以为这就是当年入侵 NVIDIA、后来又泄露 GTA 6 的那个 LAPSUS$。
但这个组织除了名字是 LAPSUS$ 之外，本身并不是同一个组织。

不过既然已经聊到这里，当年那个真正的 LAPSUS$，做出的事情也足够离谱。

LAPSUS$ （黑客组织）

NVIDIA

2022年2月23日，NVIDIA 发现内部系统遭到入侵。数据泄露事件曝光后不久，LAPSUS$ 声称窃取了约 1TB 数据。

LAPSUS$ 最初先公开了一部分 NVIDIA 员工密码哈希，用来证明自己确实进入了公司网络。

到 2 月 28 日，LAPSUS$ 要求 NVIDIA 移除 LHR 限制。
这个 LHR 限制就是当时加密货币潮导致正常显卡长期缺货，所以 21 年加入了 LHR，可以理解成专门针对挖矿设计的限制锁（性能降低约一半），不过这个东西对正常游戏没有什么影响。

LAPSUS$ 威胁称，如果 NVIDIA 不移除这项限制，就公开更大的硬件资料文件夹。几乎在同一轮消息中，他们又发布了一个约 18~20GB 的压缩包，其中包含 GPU 驱动和固件源码、Falcon、LHR、DLSS 等资料。

3 月 1 日，LAPSUS$ 又更新并扩大了要求。
要求 NVIDIA 必须开源其用于 macOS、Windows 和 Linux 设备的图形芯片驱动程序。要求在3月4日遵守这一要求。

NVIDIA 没有接受这些要求，后续也没有透露更多信息。

真实身份泄露

LAPSUS$ 当时最受关注的成员之一，是一名来自英国牛津的 16 岁少年，网络化名 White 或 Breachbase，后来被确认是 Arion Kurtaj。

他的身份先被敌对黑客开盒。Kurtaj 曾卷入 Doxbin 社区纠纷，在泄露该网站数据库后，其他人反过来公开了他的姓名、住址、家人信息和社交媒体照片。

2022 年 3 月 24 日，伦敦市警察宣布逮捕了 7 名与一个黑客组织有关的年轻人，但警方当时没有确认 Kurtaj 是否就在其中。根据后来法庭披露的时间线，Kurtaj 其实早在 1 月就因更早的案件首次被捕，获释后又参与了 NVIDIA 入侵，并在 3 月 31 日再次被捕。

因为被开盒带来安全风险，他被安排住进 Bicester 的一家 Travelodge（旅店），并处于警方保护之下。他的电脑已经被没收，保释条件还明确禁止上网。

但这并没有拦住他。

在警方保护期间；Kurtaj 依然参与网络攻击，先后参与了 Revolut（英国金融公司）、Uber（优步） 和 Rockstar Games 的攻击。

Uber

起因是一名外部承包商的个人设备此前感染了恶意软件，公司密码随之流入地下市场。攻击者拿到密码后反复尝试登录，让承包商的手机不断弹出“是否允许登录”的批准请求。最初对方一直拒绝，但最后还是批准了一次。

进入 Uber 内部后，攻击者继续取得其他员工账号和更高权限，进入了 Google Workspace、Slack、财务内部工具和 HackerOne 漏洞报告面板。他还在全公司 Slack 频道公开宣布 Uber 被入侵，并修改内部网络配置，让部分员工打开内部页面时看到粗俗图片和辱骂信息。

Uber 确认攻击者下载了部分内部 Slack 消息、财务发票相关信息，并访问了 HackerOne 中的漏洞报告。但公司没有发现乘客、司机、银行卡、银行账户或行程数据被访问，也没有发现产品代码被修改。

Rockstar Games

Uber 事件公开后的短短几天内，TeaPotUberHacker 这个名字又出现在另一个地方。

2022 年 9 月 18 日，一个使用该名字的账号在 GTAForums 发帖，直接上传了一个包含 90 多段 GTA 6 开发视频的压缩包。所有视频加在一起约有 50 分钟，其中包括角色动画、驾驶、枪战、NPC 行为、任务场景和性能测试。

很多视频是开发人员内部使用的测试录像，屏幕上覆盖着调试指令、性能数字、场景编辑器和开发工具。有些片段甚至只是在测试角色走路、转身和伸出车窗瞄准时的动作。

发布者解释，这些视频是从 Rockstar 内部 Slack 下载的。Rockstar 的开发人员会把测试录像发到 Slack 中进行沟通和审查；他进入相关内部频道后，把其中的文件批量下载了下来。

Kurtaj 可能对一名位于印度的 Rockstar 员工实施社会工程，骗取其 Okta 单点登录权限，再通过 Okta 进入内部 Slack。

可以确认的是，他不只进入了 Slack。同期泄露还显示，他可能访问了 Rockstar 的 Confluence 内部知识库，并公开了 GTA 5、GTA 6 源代码截图、一个约 9,500 行的 GTA 6 代码文件，以及疑似名为 GTA6.py 的内部构建脚本。

他声称自己还掌握 GTA 5 和 GTA 6 源代码、游戏资产以及 GTA 6 测试版本，并试图与 Rockstar“谈一笔交易”。当时他还在 Telegram 上接受超过 1 万美元的 GTA 5 源代码报价，但表示暂时不出售 GTA 6 源代码。

在 Rockstar 内部 Slack 中，Kurtaj 向员工宣布：“我不是 Rockstar 员工，我是攻击者。”随后威胁，如果 Rockstar 不在 24 小时内通过 Telegram 联系他，就开始释放源代码。

Take-Two 随后向 YouTube、社交媒体、GTAForums 和相关社区大量发送版权下架请求，但 90 段视频已经扩散到互联网各处。

警方后来在酒店电视上发现了一根 Amazon Fire Stick（存储设备）。Kurtaj 又弄到了一部新买的手机、键盘和鼠标，靠这些设备连接云计算服务。

Rockstar 后来告诉法庭，事件造成约 500 万美元恢复成本，并消耗了员工数千小时。公司还认为，被迫提前曝光 GTA 6 造成的营销机会损失无法准确量化。

最终，Kurtaj 被处以无限期医院令：除非医生认为他不再构成危险，否则他将一直留在安全医院。医疗评估还显示，他仍然表示一有机会就想重新从事网络犯罪。

后续

在今年 3 月，在 X 上传出有关 Kurtaj 的自拍照。
据称这一部手机是偷带进了监狱。

2026 年 3 月网络流传的疑似 Kurtaj 牢房照片

图片来源：X

第一张自拍的内容："bro Hmp dead, waiting trial for some bullshit hacking charge"

兄弟，监狱（HMP）里真是死气沉沉（太无聊了），正等着因为一些扯淡的黑客指控受审。

第二张自拍的内容："Phone about to be seizedi think will get another soon inshallah"

手机快要被没收了，我想很快就能再弄到一个，安拉保佑（inshallah）。

ben 还分享了一则消息，关于 WhatsApp 聊天的截图。

内容翻译如下：

MESSAGE REPRESENTATION（聊天记录展示）

OMAR Damn wait that means（靠，等等，这意味着） GTA 6 is out somewhere too（GTA 6 也已经在某个地方泄露了） Shiiit（卧槽）

ARION KURTAJ Definitley somewhere（肯定在某个地方）

ARION KURTAJ Did the source not get leaked（源代码没有泄露吗）

RUSSIAN USERNAME（某个俄罗斯用户名） 5 leaked, 6 not（5 泄露了，6 没有）

ARION KURTAJ Interesting（有意思） No futher comment on that matter（对此不作进一步评论）

小道消息

此外，X 上的 @omxr76 还放出了更多与 Kurtaj 的聊天记录。RockstarINTEL 直接把他称作“截图中的 Omar”，并引用了他关于多人掌握 GTA 6 源代码的说法。
随后 omxr76 帖子被 ben 转述。其中 omxr76 和 Omar 身份关联密切。

Omxr76 爆料的内容

来源：[1],[2]
根据图片所述，内容如下：

【5:26 PM】 
Arion Kurtaj: 我就是上来说一下我现在的情况有多操蛋 (I just came back to say how shit my situation is)
Arion Kurtaj: 我被拘留了三年半，没判刑，也没让我受审 (I am detained for 3.5 years, not sentenced, not put on trial)

【5:27 PM】 
Arion Kurtaj: 这里有些告密狗/小人 (some rats here)
Omar (紫): 你是在精神病院吗？ (Is it a mental hospital?)
Omar (紫): 还是就是普通监狱？ (Or just jail?)
Arion Kurtaj (回复“普通监狱？”): 现在是监狱了 (Jail now)
Omar (紫): 之前在“精神病院”感觉咋样？ (How was the "mental hospital")

【5:28 PM】 
Arion Kurtaj: 精神病院简直太棒了，我可以接触社区，去钓鱼，自己做饭，去购物 (Mental hospital was amazing, i was able to access the community, go fishing, cook my own food, go shopping)
Sven Tek (Manager): 靠 (Damn)

【5:30 PM】 
Omar (紫) (回复“精神病院太棒了...”): 靠，所以你也有户外放风时间咯 (Damn so you had outside time too)
V (蓝): 兄弟，卧槽，这是真的吗？？？ (Bro wtf this is for real???)
Omar (紫) (回复 V): 对啊哥们 (Yeah nigga)
Arion Kurtaj (回复“所以你也有户外...”): 是的兄弟，每天 1 小时放风，每周能去购物 3 小时，每周还有 8 小时的钓鱼时间 (yes bro, 1 hour each day, 3 hours shop each week, 8 hours fishing a week)

【5:31 PM】 
Omar (紫) (回复“是的兄弟...”): 大家还以为你像是被关在那种上锁的小黑屋里一样 (Everyone thought you were like detained in a locked room)
Arion Kurtaj: 并没有 哈哈，精神病院从来不会把你锁起来 (no LOL mental hospital you are never locked)
Arion Kurtaj: 24小时随时能离开房间 (24/7 out of cell)
Arion Kurtaj: 24小时都能去花园 (24/7 garden)
Omar (紫): 他们啥时候把你转到监狱的？ (When did they move you in jail)
Omar (紫): 还有因为啥转狱？ (And why)

【5:32 PM】 
Arion Kurtaj: 差不多吧，我甚至还能领就业救济金 (pretty much, i was even getting employment benefits)
Arion Kurtaj: 每个月 700 英镑 (£700 a month)
Arion Kurtaj (回复“因为啥转狱？”): 司法大臣决定把我发回法院受审 (Secritary of state for justice decided to remit me to court)