De auteur ontdekte een GitHub-repository die zijn data wrangling-software imiteert door ongeoorloofd gebruik te maken van zijn productnaam en logo. Analyse via VirusTotal wees uit dat het aanbod malware bevat en dat de distributie-bestanden zijn aangepast om gebruikers aan te moedigen beveiligingswaarschuwingen te negeren. Ondanks meldingen bleef GitHub 23 dagen lang stil. Pas nadat het incident op de voorpagina van Hacker News verscheen, werd de repository binnen tien minuten verwijderd, wat volgens de auteur aantoont dat GitHub enkel actie onderneemt bij publieke druk.
GitHub heeft kwaadaardige imitatiesoftware na 3 weken nog niet verwijderd
Ik heb dit op dezelfde dag bij GitHub gemeld als een imitatie. Ik ontving hierop een reactie.
Ontdekking van malware
Een collega scande het Mac .dmg-bestand uit de repository via virustotal.com en kreeg een hele reeks malware-waarschuwingen. Met Isobuster ontdekte hij bovendien dat de achtergrondafbeelding van de .dmg was gewijzigd. De nieuwe afbeelding moedigt downloaders aan om alle waarschuwingen over de malware te negeren.
Ik heb deze aanvullende informatie op 10 september gemeld.
Gebrek aan respons
Tot 23 september heb ik geen reactie van de support van GitHub ontvangen, afgezien van de oorspronkelijke automatische e-mail. Dat betekent 23 dagen zonder antwoord. Dit is waardeloos. Doe beter, GitHub.
Ik weet niet zeker wat mijn volgende stap is. Een DMCA-verzoek tot verwijdering bij GitHub?
Realistisch gezien zijn de enige mensen die de .dmg waarschijnlijk downloaden zij die willen voorkomen dat ze betalen voor een licentie voor Easy Data Transform. Ik heb niet veel sympathie voor hen als hun computers worden gecompromitteerd, maar ik vind het zeer vervelend dat kwaadwillenden misbruik maken van mijn harde werk.
Ps: Download software, waar mogelijk, altijd rechtstreeks van de leverancier.
Update: 24 september 2026
GitHub heeft de betreffende pagina uiteindelijk verwijderd, ongeveer 10 minuten nadat dit bericht op de voorpagina van Hacker News verscheen. Een totaal toeval, dat ben ik zeker!
De moraal van het verhaal: als je zelfs maar het meest basale niveau van ondersteuning van GitHub wilt, moet je op de voorpagina van Hacker News komen. Het blijkt dat ze heel snel kunnen handelen wanneer ze dat willen.
GitHub heeft kwaadaardige imitatiesoftware na 3 weken nog niet verwijderd
Ik heb dit op dezelfde dag bij GitHub gemeld als een imitatie. Ik ontving hierop een reactie.
Ontdekking van malware
Een collega scande het Mac .dmg-bestand uit de repository via virustotal.com en kreeg een hele reeks malware-waarschuwingen. Met Isobuster ontdekte hij bovendien dat de achtergrondafbeelding van de .dmg was gewijzigd. De nieuwe afbeelding moedigt downloaders aan om alle waarschuwingen over de malware te negeren.
Ik heb deze aanvullende informatie op 10 september gemeld.
Gebrek aan respons
Tot 23 september heb ik geen reactie van de support van GitHub ontvangen, afgezien van de oorspronkelijke automatische e-mail. Dat betekent 23 dagen zonder antwoord. Dit is waardeloos. Doe beter, GitHub.
Ik weet niet zeker wat mijn volgende stap is. Een DMCA-verzoek tot verwijdering bij GitHub?
Realistisch gezien zijn de enige mensen die de .dmg waarschijnlijk downloaden zij die willen voorkomen dat ze betalen voor een licentie voor Easy Data Transform. Ik heb niet veel sympathie voor hen als hun computers worden gecompromitteerd, maar ik vind het zeer vervelend dat kwaadwillenden misbruik maken van mijn harde werk.
Ps: Download software, waar mogelijk, altijd rechtstreeks van de leverancier.
Update: 24 september 2026
GitHub heeft de betreffende pagina uiteindelijk verwijderd, ongeveer 10 minuten nadat dit bericht op de voorpagina van Hacker News verscheen. Een totaal toeval, dat ben ik zeker!
De moraal van het verhaal: als je zelfs maar het meest basale niveau van ondersteuning van GitHub wilt, moet je op de voorpagina van Hacker News komen. Het blijkt dat ze heel snel kunnen handelen wanneer ze dat willen.
Groetjes,