這是一次極其危險且複雜的供應鏈攻擊，由名為 TeamPCP 的威脅組織發起。這次攻擊被命名為 Mini Shai-Hulud，其影響範圍橫跨了前端開發常用的 npm 以及 Python 的 PyPI 兩個主流套件生態系，受影響的知名專案包括 TanStack、Mistral AI 以及 Guardrails AI 等。
對於工程師來說，最值得關注的不是它偷了多少資料，而是它如何繞過現代開發流程中的多重安全防線。
供應鏈攻擊的運作邏輯
所謂的供應鏈攻擊，是指攻擊者不直接攻擊目標公司，而是攻擊目標公司所依賴的第三方套件。一旦開發者在專案中安裝了被污染的套件版本，惡意程式碼就會在開發者的電腦或 CI/CD 伺服器上執行。
在這次事件中，攻擊者使用了極其高明的手段來獲取發佈權限。他們首先利用了 GitHub Actions 的 pull_request_target 觸發機制。通常這個機制被用來在 PR 提交時執行某些自動化檢查，但如果配置不當，攻擊者可以透過精心設計的 PR 誘導系統執行惡意指令。
接著，他們利用了快取污染 Cache Poisoning 技術，將惡意載荷植入 GitHub Actions 的快取中。最關鍵的一步是，他們從 GitHub Actions 的執行環境記憶體中直接提取了 OIDC Token。OIDC 是一種身分驗證標準，允許 GitHub Actions 在不需要儲存長期密鑰的情況下，安全地向外部服務證明自己的身分。攻擊者奪取這個短期 Token 後，就能冒充合法的自動化流程來發佈套件。
這導致了一個極其罕見的結果：被污染的套件竟然帶有有效的 SLSA Build Level 3 證明。SLSA 是一個旨在確保軟體構建完整性的框架，Level 3 代表該套件是由受信任的構建平台產生的且不可篡改。這次攻擊證明，即便有 SLSA 這種強大的證明機制，只要構建流程本身被劫持，產出的惡意套件依然會看起來像合法產品。
蠕蟲般的擴散機制
這次攻擊之所以被稱為蠕蟲 Worm，是因為它具備自動擴散能力。它會在受害者的環境中搜尋具有發佈權限的 npm Token。如果發現該 Token 開啟了 bypass_2fa 也就是跳過二階段驗證的權限，它就會自動列出該維護者名下的所有套件，並利用 OIDC Token 換取各個套件的發佈權限。
這意味著只要一個維護者的某個小專案被攻破，他名下所有相關的套件都可能在短時間內被自動污染，形成連鎖反應。
惡意程式碼的功能與隱匿手段
一旦惡意套件被安裝，它會執行以下操作：
第一，環境偵測與憑證竊取。它會透過混淆過的 JavaScript 檔案分析執行環境，針對雲端平台、加密貨幣錢包、AI 工具以及 GitHub Actions 等 CI 系統竊取憑證。
第二，利用合法流量規避偵測。攻擊者將竊取的資料傳送到 Session Protocol 的域名。這是一個去中心化、注重隱私的通訊服務。由於許多企業環境不會封鎖這種合法且隱私的服務，惡意流量很容易混在正常流量中逃過監控。
第三，建立持久化機制。它會在 VS Code 或 Claude Code 等 IDE 中植入掛鉤，確保電腦重啟或編輯器重新啟動後，竊密程式能再次執行。
第四，針對性破壞。在 PyPI 的案例中，程式碼包含地理位置偵測。如果偵測到環境位於以色列或伊朗，它有六分之一的機率會執行 rm -rf / 指令，直接毀掉整個系統檔案。
工程實務上的啟發與對策
這次事件給開發者的三個重要提醒：
首先，審視 GitHub Actions 的權限配置。特別是使用 pull_request_target 時要極其小心，避免在未經審核的情況下執行來自 Fork 儲存庫的程式碼。
其次，不要過度依賴單一的安全證明。即便套件有 SLSA 證明或來自知名組織，也不代表它絕對安全。應採取最小權限原則，例如在 CI/CD 中限制 Token 的權限範圍，並盡量禁用 bypass_2fa。
最後，關注套件的導入行為。例如 guardrails-ai 的案例中，惡意程式碼在 import 階段就立即執行，這提醒我們在安裝不熟悉的套件時，應使用沙箱環境或掃描工具檢查其安裝後行為。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。