這是一起針對 Python 生態系的供應鏈攻擊，被命名為 Hades。它並非獨立的單一事件，而是屬於一個更龐大的惡意攻擊家族（包含 Shai-Hulud 與 Miasma。這類攻擊的核心目標非常明確：針對開發者與 CI/CD 流程，竊取足以控制雲端基礎設施與程式碼倉庫的敏感憑證。
對於 Junior 工程師來說，最需要警覺的是，這次攻擊改變了惡意程式的觸發方式，讓開發者在還沒正式呼叫套件功能前，系統就已經被入侵。
自動執行機制的陷阱：pth 檔案與 init 鉤子
傳統的惡意套件通常在安裝時透過 setup.py 執行，或者要求使用者 import 某個模組後才觸發。但 Hades 採取了更隱蔽的手段。
第一種方式是利用 pth 檔案。在 Python 中，site 模組在解釋器啟動時會處理所有以 .pth 結尾的檔案。攻擊者在套件中植入了一個 setup.pth 檔案，這意味著只要 Python 啟動，該檔案內的指令就會自動執行。使用者甚至不需要在程式碼中寫 import 該套件，惡意程式就已經在背景運行。
第二種方式則是針對生物資訊相關套件，將惡意指令隱藏在 init.py 檔案中，利用混淆的單行 import 鉤子（Import Hook）來觸發。這同樣達成了在開發者意識到之前就執行惡意代碼的目的。
為什麼選擇 Bun Runtime
這類攻擊的一個特點是會下載並安裝 Bun。Bun 是一個高效能的 JavaScript 執行環境（Runtime），類似於 Node.js。
攻擊者選擇 Bun 而非 Node.js 的原因在於，許多伺服器或開發環境可能沒有安裝 Node.js，但 Bun 可以作為獨立的 ZIP 壓縮檔下載並直接運行。這樣可以繞過傳統套件管理器的監控，且較不容易在網路代理日誌中留下明顯的 Node.js 相關特徵，讓惡意 JavaScript 腳本能更自由地在系統中執行複雜的竊密任務。
竊取目標與後續影響
一旦 Bun 執行了混淆的 JavaScript 腳本，它會開始掃描系統中所有與開發相關的機密資訊。
目標包含 GitHub、npm、PyPI、AWS、GCP、Azure、Kubernetes 等雲端平台的憑證，以及 SSH 金鑰、.env 環境變數檔、Docker 配置和 Vault token。
更危險的是，該惡意程式具備橫向移動能力。它會嘗試透過 SSH 或 SCP 在開發者網路中擴散，並利用開發者的 OIDC（OpenID Connect，一種身分驗證標準）信任配置，將被污染的套件反向推送回 PyPI 倉庫，形成惡性循環。
此外，它還針對 AI 開發工具（如 Claude, Gemini, Copilot 等）進行後門植入，當開發者使用 AI 助手分析程式碼時，可能會觸發進一步的代碼執行。
對抗 AI 掃描與極端的毀滅機制
Hades 展示了攻擊者如何對抗現代的安全工具。它在代碼中加入了純文字的提示詞注入（Prompt Injection），試圖欺騙基於大型語言模型（LLM）的安全性分析工具，讓 AI 將其判定為安全套件。
最令人不安的是其毀滅機制。它會安裝一個名為 gh-token-monitor 的背景服務。如果開發者發現憑證被盜並撤銷了 GitHub token，該服務會立即觸發毀滅指令（如 rm -rf ~/），刪除使用者家目錄與文件，企圖在被發現後銷毀證據並對受害者造成最大損失。
實務防禦建議
這次事件證明，即使套件維護者帳號經過驗證，也無法完全保證安全。當上游倉庫被攻破時，信任鏈就斷了。
首先，應嚴格控制 CI/CD 環境的權限，避免使用過高權限的長期 Token，儘量採用短期、有限權限的臨時憑證。
其次，利用 Linting 工具（如 ruff）其實有意外的防禦效果。在另一起案例中，攻擊者試圖將惡意代碼強行推送至開源專案，但因為代碼格式不符合該專案的 ruff 格式化規則，導致 CI 檢查失敗而未能成功部署。這提醒我們，嚴格的代碼風格檢查與 CI 門檻，在無意中能增加攻擊者的成本。
最後，對於不熟悉的第三方套件，應優先在隔離的沙盒環境或容器中測試，避免直接在存有大量敏感金鑰的開發主機上安裝。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。