软件安全资讯作业

新闻链接

https://thehackernews.com/2025/11/weekly-recap-fortinet-exploit-chrome-0.html

资讯描述

本周，安全研究机构披露了名为“Shai-Hulud 2.0”的大规模npm供应链攻击，成为开源生态近期讨论最热的软件安全事件之一。攻击者在 11 月下旬短时间内上传了多个伪装成正常依赖的恶意包，这些包通过模仿常用库的名称和功能描述，使开发者在更新依赖或安装新组件时难以察觉异常。研究人员指出，这一轮攻击比前代更具隐蔽性，许多恶意代码藏在preinstall阶段，开发者甚至在运行应用之前就已经“中招”。

更令人担忧的是，Shai-Hulud 2.0具备链式传播特征。npm本身依赖结构复杂，一个项目往往包含几十甚至上百个子依赖，只要一个底层包被污染，就可能通过构建体系被扩散到大量使用者的环境中。攻击者正是利用这一点，通过极小的投毒入口，触发极大范围的依赖污染，使风险迅速蔓延到多个组织的开发机、构建服务器乃至自动部署管线。

此外，安全团队发现此次攻击的目标不再局限于个人开发者，而是明显指向CI/CD环境、自动化构建脚本与云API凭证盗取。恶意包会主动扫描环境变量、SSH Key、Git配置文件，并尝试上报至攻击者服务器。这意味着任何执行该包的机器，包括企业内部的流水线系统，都可能被当作“跳板”继续扩散攻击，使其破坏力远超以往常见的npm投毒事件。Shai-Hulud 2.0的出现再次证明，供应链攻击已成为当前软件安全领域最值得关注的威胁之一。

评论

Shai-Hulud 2.0事件带给软件行业最重要的警示是：现代软件开发已经不再只依赖开发者自身的代码，而是依赖一个庞大且复杂的开源生态体系。当依赖数量呈指数级增长时，“信任”本身就成为最大的安全隐患。npm生态的便利性建立在默认信任机制之上，而攻击者正是利用这种结构性的弱点完成投毒与传播，使得一次小规模的污染可以在极短时间内影响成千上万的项目。

这一事件展示了“软件供应链攻击”的典型特征：攻击者不需要突破企业边界，也无需入侵服务器。他们只需投毒一个依赖包，就能直接进入企业内部环境，获取凭证、修改流水线或植入后门。正因如此，这类攻击往往比传统漏洞更具有破坏力，因为它突破的不是代码漏洞，而是整个生态的信任模型。

因此，Shai-Hulud 2.0不仅是一次攻击事件，也是对整个行业的一次提醒。开发团队必须摒弃“开源依赖默认可信”的错误观念，建立更严格的依赖审计制度，引入SBOM（软件物料清单）、行为监测、构建沙箱等机制，将供应链安全纳入整体防护体系之中。只有当开发者真正意识到依赖本身也是“代码”，并且具有等同甚至更高的风险，类似事件才不会反复出现。