Linux用户向来有种安全感——系统开源、权限严格、病毒少。但上周发生的一件事，可能让不少人重新考虑要不要装个杀毒软件。

Cemu，这个知名的Wii U模拟器项目，在5月6日到12日之间被黑客入侵。GitHub上的两个安装包——"Cemu-2.6-x86_64.AppImage"和"cemu-2.6-ubuntu-22.04-x64.zip"——被替换成恶意版本。据项目方统计，这两文件在被撤下前，累计下载量超过2万次。

打开网易新闻 查看精彩图片

攻击者的目标很明确：偷密码。但不是你的游戏账号，而是开发者的"饭碗"——GitHub令牌、SSH密钥、云服务凭证。Cemu开发者在公告里说得直接："这恶意软件有个相当复杂的密码窃取器，针对的大多是编程相关或云服务提供商。"换句话说，黑客想拿你的身份去感染更多软件。

有趣的是，用Flatpak安装Cemu的人完全没受影响。这种沙盒化的分发方式，在这次事件里成了天然隔离带。而直接从GitHub下载AppImage或解压包的用户，则暴露在风险中。

项目方给出的建议相当严厉：最理想的情况是重装系统。如果做不到，至少删掉可疑文件，重置所有密码、令牌和密钥。他们还建议所有人屏蔽IP地址83.142.209.194——这是恶意软件硬编码的通信地址，不管你有没有中招，封了没坏处。

这事暴露了一个尴尬的现实：开源软件的供应链安全，很大程度上依赖"信任但验证"的默契。GitHub作为分发平台，并不会对每次发布做代码签名验证。开发者账号一旦被盗，恶意代码可以堂而皇之地挂在官方仓库里六天，下载量破两万才被发现。

更深层的问题在于，Linux生态的分发方式正在分裂。传统派坚持"从源码编译"或"官方包"，务实派拥抱Flatpak、Snap这类容器化方案，还有大量用户习惯直接去GitHub Release页面拖文件。这次事件中，恰恰是最后这群人中了招。

Cemu团队的处理算及时：发现问题后迅速撤包、发公告、给清单。但2万次下载已经出去，后续影响难以估量。那些被偷走的SSH密钥，可能正在其他仓库里静静潜伏。

对普通用户来说，这件事的教训很具体：第一，优先用发行版官方源或Flatpak/Snap这类沙盒分发；第二，GitHub Release页面的文件并不比第三方镜像更"官方"；第三，开发者的机器是高价值目标，值得专门加固。

Linux确实比Windows安全，但"相对安全"不等于"绝对安全"。当攻击者开始瞄准开源开发者的工具链，整个生态的防护水位都得往上提一提。