Terraform被投毒，这一刀砍向开发者

2025年7月8日，Zscaler ThreatLabz披露了一起耐人寻味的攻击：一个被植入木马的Terraform Provider，曾在官方Registry上可供下载，成了攻击者进入企业开发者环境的跳板。恶意载荷分两段投放——先用FLATROOF窃取凭证、打开初始访问通道，再用ROOFDECK扩大远程控制面。披露发布后，HashiCorp已将该恶意Provider从Terraform Registry下架。

更值得玩味的是归因部分：ThreatLabz在报告中给出了针对TraderTraitor的低置信度关联——目标、工具、战术有相似性，但拿不出独有代码匹配、共享基础设施或密码学层面的硬证据。

这件事的真正看点，不在“谁干的”，而在“怎么干的”。当基础设施即代码（IaC）工具本身成为投毒载体，供应链攻击的杀伤半径，正在从应用层下沉到资源编排层。

📌 时间线与关键事实

在展开分析之前，先把可核查的硬事实列出来：

• 2025年6月下旬：恶意Provider包被上传至官方Terraform Registry（registry.terraform.io），以正常可拉取的状态存在；
• 2025年7月8日：Zscaler ThreatLabz发布技术分析报告，确认该Provider在terraform init阶段即可触发恶意行为，并同步通知HashiCorp；
• 2025年7月上旬：HashiCorp将恶意Provider自Registry下架；
• 受影响范围：在下架前通过Registry直接拉取该Provider、且未启用依赖锁定文件（.terraform.lock.hcl）与哈希校验的环境。启用版本锁定并校验官方签名哈希的环境，可阻断该攻击链的初始环节；
• IOC：完整的失陷指标——包括C2域名/IP、样本SHA-256哈希、投放基础设施——已在ThreatLabz报告附录中公开，可直接用于SOC侧的日志回溯比对；
• 归因置信度：ThreatLabz将本次攻击与朝鲜关联的攻击簇TraderTraitor进行低置信度关联，并明确列出证据缺口（详见下文）。

以上时间点与指标均以ThreatLabz官方报告及HashiCorp公告为准，建议读者在引用或排查时与其原文核对。

⚠️ 一次投毒的完整链路

先还原现场。

攻击的入口不是某个0day，而是一个再普通不过的开发动作：工程师在终端里执行Terraform初始化，拉取Provider插件。如果这个Provider包被调包——版本号正常、功能正常、哈希被绕过或开发者未校验——恶意代码就会在本机静静落地。

按照ThreatLabz的描述，落地的是面向开发者常用工作站的跨平台恶意软件，也就是同一套攻击链可以覆盖工程师的不同作业环境。这在开发者攻击面上是个关键设计：如今的工程师工位五花八门，macOS写代码、Linux跑CI、Windows做管理，攻击者不必为平台分发多套作业。

整个链条大致是这样的：

注意这个两段式结构：FLATROOF负责“偷钥匙”，ROOFDECK负责“进门住下”。这不是临时拼凑的工具链，而是有明确分工的作业流程——第一段得手才有第二段，第一段暴露也不至于全盘皆输。

对安全团队来说，这意味着检测窗口被拉长了。凭证窃取阶段往往安静得像一次正常的构建，等到ROOFDECK的远控行为被发现时，钥匙早已经易主。这个判断有公开数据支撑：Verizon《2025年数据泄露调查报告》（DBIR）连续多年将凭证滥用列为最主要的初始入侵向量之一，而攻击者获取这些凭证的路径，正越来越多地指向开发者终端与代码仓库，而非传统意义上的边界设备。

🔍 归因为什么这么难

“疑似TraderTraitor”六个字，值得单独展开。

TraderTraitor是近年供应链攻击研究中的高频名字，此前多家厂商的追踪记录显示，该攻击簇惯用伪造招聘、恶意软件包等社会工程与供应链组合拳，目标重点长期偏向加密资产与开发者生态。ThreatLabz在本次事件中观察到的目标选择、工具风格和战术相似性，指向了这个方向。

但相似性不等于证据。ThreatLabz明确列出了三个缺口：

• 没有独有代码匹配——找不到能锁定家族的代码指纹；
• 没有共享基础设施——攻击者没有复用已知C2或托管资源；
• 没有密码学证据——不存在签名、密钥等可验证的强关联。

换句话说，这是一起“画像很像但指纹对不上”的归因。在成熟的研究社区里，这种克制恰恰是专业性的体现——归因措辞与证据强度对齐，比抢头条重要得多。

把这次攻击放到整个供应链攻击图谱里看，它的位置很清晰：

木马化Provider处在“高门槛、大波及”的象限。门槛高在哪？攻击者要摸清Terraform的分发与校验机制、构造功能无异的替身包、还要让目标环境恰好跳过完整性检查。波及大在哪？下文详说——因为偷走的不只是代码，是云上世界的钥匙。

从产业逻辑看，这类手法会越来越多。原因很朴素：应用层防护在变厚，攻击者自然流向防护更薄、但价值更高的“上游节点”。开发者工具链就是典型的上游——Sonatype历年《软件供应链状况报告》的统计显示，开源生态中的恶意包数量近年呈指数级增长，且投放目标持续向开发者构建环节靠拢。一个被投毒的包，比一百封钓鱼邮件更省力。

🧰 FLATROOF与ROOFDECK：两段式的作业设计

再看工具本身。按照ThreatLabz的披露，两个载荷分工明确：

这种“轻载荷先行、重载荷跟进”的设计，在近年APT工具链里越来越常见，背后有三层产业逻辑。

第一层是分摊风险。凭证窃取类载荷行为特征轻，即使被沙箱或EDR捕获，也难以顺藤摸瓜到第二段。攻击者用便宜的探子