自我複製蠕蟲 Shai-hulud 肆虐開源生態系 數千套件遭感染、數十億次下載曝險

一種名為 Shai-hulud 的自我複製蠕蟲近期針對 NPM 開源套件生態系發動攻擊，透過感染開發者維護的元件後自動發布惡意版本，形成連鎖傳播效應。多波攻擊已導致數百個軟體套件與數千個程式碼儲存庫遭到污染，受影響元件的每週下載量合計超過 20 億次，對全球軟體供應鏈安全構成嚴重威脅。

攻擊機制：感染後自動擴散

Shai-hulud 的運作模式有別於傳統惡意程式。當開發者下載遭污染的 NPM 元件後，蠕蟲會在受害主機上取得存取權限，接著自動感染該開發者所維護的其他元件，並以開發者身分發布含有惡意程式碼的新版本。下游使用者一旦更新或安裝這些套件，便會遭受相同命運，形成自我複製的連鎖感染。

資安業者 Sygnia 企業資安顧問 Omer Kidron 指出，這類攻擊的設計目標是在開發者與 CI/CD（持續整合/持續部署）管線環境中執行，而這些環境正是存取權杖與機敏資訊最容易觸及之處。一旦憑證外洩，攻擊者可利用或轉售這些資訊，以受害者身分存取私有儲存庫、竄改程式碼、觸發建置流程、發布套件，甚至存取雲端資源。

GlassWorm 同步肆虐 竊取開發者憑證

除 Shai-hulud 外，另一支名為 GlassWorm 的威脅行動自去年秋季以來持續鎖定開發者憑證。雖然 GlassWorm 技術上並非自我複製型蠕蟲，但當開發者下載遭污染的 Open VSX 擴充套件後，該惡意程式會竊取憑證與加密貨幣錢包。攻擊者隨後可利用遭竊的開發者帳號手動發布惡意版本，進一步擴大感染範圍。

在這波供應鏈攻擊浪潮中，早期針對開發者 Qix 的攻擊導致 18 個熱門 NPM 元件遭污染，這些元件每週合計下載量超過 20 億次。所幸防禦方反應迅速，該次攻擊並未大規模擴散。然而，後續多波 Shai-hulud 攻擊仍各造成數百個軟體套件與數千個儲存庫在一段期間內遭到感染。

下載數字不等於實際受害規模

針對攻擊造成的實際損害，Sygnia 的 Kidron 強調，供應鏈事件的炒作往往聚焦於下載數字，但評估損害應著重於受影響組織內部的實際衝擊：惡意程式在哪裡執行、執行了什麼、暴露了什麼。一個被下載百萬次的惡意套件，並不代表百萬家企業遭到入侵，但確實顯示惡意程式可能已散布至眾多建置與開發環境。

應用程式安全業者 Checkmarx 資安研究倡議者 Darren Meyer 表示，許多大規模攻擊行動已被阻止或迅速緩解。針對 Qix 的攻擊因維護者快速回應並與社群透明溝通而獲得控制；Shai-hulud 雖造成衝擊，但因 NPM、GitHub 等平台協力阻止擴散，也相對快速獲得控制。

三層損害模型：直接入侵只是冰山一角

Checkmarx 以三個層面評估供應鏈攻擊的損害與成本。第一層是直接損害，即發生重大入侵事件，這種情況雖會發生但大規模案例相對罕見。第二層是次級損害，損害程度較低但開發者須投入資源與時間進行清理，這類情況較為常見。第三層是間接損害，無論是否存在漏洞，員工都必須投入資源防禦新興威脅，這是最普遍的情況。

Meyer 指出，當已知存在惡意內容時，組織仍須進行某種程度的事件回應。資安團隊至少必須評估對組織構成的風險，包括理解威脅本身，以及調查是否有受影響的跡象。這種回應工作代價高昂，不僅因為回應人員投入的實際時間與金錢，更因為對組織造成的營運中斷。

應用程式安全業者 Black Duck 資深研發經理 Christopher Jess 將此稱為「高成本驗證稅」。即使事件被快速發現，工程與資安團隊仍須迅速回答棘手問題：我們是否曝險？哪些管線拉取了該套件？哪些開發者端點安裝了它？哪些憑證可能面臨風險？這驅動了緊急分類、日誌搜尋、重新執行建置、驗證產出物、輪換憑證，有時甚至需要重建對發布流程的信任。

長期影響：憑證外洩風險持續延燒

除即時損害外，這類事件的長期影響同樣值得關注。Sygnia 的 Kidron 說明，憑證竊取等入侵行為的影響會在更長時間展現。若問題未獲充分控制，攻擊者可出售存取權限或於日後進行後續活動。

在實務上，損害會跨越不同時間框架展開。在曝險後數小時至最初幾天內，主要風險是憑證外洩，因為這類攻擊的設計就是要在開發者與 CI/CD 路徑中執行，而這些地方最容易接觸到權杖與機敏資訊。即便主要損害輕微，後續的控制流程仍可能耗時數週，並經常導致其他計畫中的交付項目與版本發布延遲。

專家建議：落實數十年累積的資安最佳實務

Jess 指出，儘管許多供應鏈攻擊因社群偵測、套件庫下架與改進的掃描機制而迅速被阻止，這些事件仍提醒我們快速行動至關重要，無論是在入侵後輪換憑證，或是在持續攻擊行動中檢查入侵指標（IOC）。

針對企業防禦，Jess 建議領導者應落實數十年來發展的資安最佳實務：不要盲目信任開源程式碼、減少安裝與建置程序可存取的資源、優先採用短期且最小權限的憑證、強化套件與擴充套件控管（實施白名單與內部鏡像），並部署持續監控機制以便快速證明影響範圍。

本文轉載自Dark Reading。