GitHub 自動化工具遭植入惡意程式，企業如何防範供應鏈攻擊？

許多企業主以為，只要網站沒被駭客直接入侵就安全了。但您知道嗎？現在駭客更喜歡從「供應鏈」下手，也就是從您開發團隊使用的第三方自動化工具切入。一旦這些工具被動了手腳，不僅網站後台可能癱瘓，公司的機密金鑰與帳號密碼也可能在不知不覺中被偷走。近期國外就發生了一起自動化工具「死灰復燃」的資安事件，值得所有重視資訊安全的企業警惕。

自動化工具「死灰復燃」，惡意程式悄悄復活

在軟體與網站開發中，開發團隊常使用 GitHub Actions（一種自動化工作流程工具）來幫忙處理日常任務，例如自動關閉不活躍的討論串，或是自動發佈網站更新。

今年 5 月，有兩個非常熱門的 GitHub Actions 工具被發現遭到駭客植入名為「Mini Shai-Hulud」的惡意程式碼。當開發團隊的系統在背景執行這些工具時，惡意程式就會偷偷把 CI/CD pipelines（自動建置與發佈網站的流水線）中的敏感憑證與密碼，傳送到駭客控制的伺服器。

事發後，GitHub 官方迅速將這兩個工具的線上資料夾（Repository）停用。但令人訝異的是，到了 9 月中旬，這兩個資料夾竟然又被重新開放了！更糟的是，裡面的惡意程式碼根本沒有被清除。這意味著，只要開發團隊的專案有使用這些工具，系統就會自動下載並執行惡意程式，讓駭客不費吹灰之力就能再次竊取企業機密。

為什麼停用後還會中招？「版本標籤」的盲點

這次事件暴露了一個常見的資安盲點：版本標籤的風險。

開發者在呼叫第三方工具時，通常會使用「版本標籤」（例如 v2.2.1）來指定版本。但問題是，這個標籤的內容是可以被上游開發者偷偷替換的。當駭客控制了這個工具，他們只需要把惡意程式碼塞進 v2.2.1 這個標籤裡，所有使用這個標籤的專案就會全部中招。

這次事件中，駭客甚至不需要重新寫新的攻擊程式，也不需要架設新的伺服器。只要 GitHub 重新開放這個資料夾，原本被篡改的惡意程式碼就會繼續運作。這提醒了我們，過度依賴上游工具的「版本標籤」，等於把系統安全的控制權交給了別人。

給企業與開發團隊的 4 個自保步驟

為了避免您的網站後台或開發環境成為供應鏈攻擊的受害者，安全專家建議開發團隊採取以下具體措施：

• 找出並移除受影響的工具：全面檢查專案中是否有使用受影響的 GitHub Actions，並將特定版本（如 v2.2.1）視為高風險，立即移除。
• 將版本鎖定在安全的固定編號：不要只寫版本標籤，改用 SHA pinning（將版本鎖定在特定時間點的固定編號）。這能確保系統永遠只下載您確認過安全的程式碼，避免被偷偷更新。
• 更換所有機密金鑰：一旦懷疑系統可能執行過受感染的工具，請立即輪換（更換）所有存放在系統中的 Secrets（機密金鑰或密碼），阻斷駭客的使用權限。
• 檢查近期的系統執行紀錄：詳細審查近期的自動化工作流程歷史，確認在資料夾重新開放後，有沒有出現異常成功的執行紀錄或不明修改。

崴米的建議

供應鏈攻擊往往發生在企業看不見的後端環境，單靠前端網頁的美觀是無法防禦的。作為您的數位整合顧問，我們建議企業主可以從以下兩個方向著手，建立更穩固的資安防線：

首先，定期檢視網站與後台環境的健康狀態。除了檢查前端網頁，後端使用的第三方服務與外掛也要定期檢視。您可以先透過免費網站健檢，了解目前網站的基本安全、速度與搜尋引擎設定，找出潛在的弱點。

其次，將網站後台與主機交給專業團隊維護。透過網站代管維護與主機監看服務，讓專人協助監控系統狀態、定期備份與更新。當第三方工具出現異常或系統遭到攻擊時，專業團隊能第一時間發現並處理，大幅降低供應鏈攻擊帶來的停機與機密外洩風險。

參考來源：Compromised GitHub Actions Came Back Online and Resumed Executing Mini Shai-Hulud Malware