多年来，标准建议很简单：让软件保持最新。这一建议仍然成立，但日益增长的供应链攻击浪潮表明，更新本身也可能成为威胁。攻击者正在入侵合法的开源软件包，并滥用受信任的更新渠道来投递窃取凭据的恶意软件。对于任何依赖自动更新和第三方依赖项的人来说，学会验证软件更新并识别供应链恶意软件如今已是一项实际必需技能，而不是专家爱好。

这对 VPN 用户尤其重要。VPN 客户端、浏览器扩展或密码管理器与你的凭据和流量紧密相关。如果安装程序被篡改，你选择用于保护的工具就会成为入侵入口。

攻击者如何把受信任的更新变成凭据窃取器

供应链攻击背后的逻辑是：入侵一个受信任的来源，比逐一针对成千上万人更容易。如果攻击者能将恶意代码植入合法的开源软件包，或植入供应商用来分发更新的渠道，那么每个拉取该更新的用户都在替他们完成工作。

之所以奏效，是因为我们对这一流程给予了极大的信任。你的操作系统或应用提示有可用更新，它来自预期位置，而且看起来正常。许多人从不质疑它，许多设置还会自动安装更新，完全无人审查。

来源报道中所述攻击的有效载荷是窃取凭据的恶意软件。这意味着已保存的密码、会话数据和其他登录详细信息都是目标。一旦被盗，这些凭据可用于访问电子邮件、工作系统和云账户，往往无需再使用任何其他恶意软件。

第三方依赖项又增加了一层风险。现代软件由许多开源组件组装而成，因此一个小型软件包被入侵后，可能传播到包含它的更大应用程序中。最终产品的用户可能永远不知道该组件的存在。

TrueConf 泄露事件揭示了特洛伊化安装程序的哪些问题

TrueConf 事件就是这种模式的一个具体例子。据 BleepingComputer 报道，视频会议平台 TrueConf 成为最新一家遭遇供应链入侵的软件供应商。我们对 TrueConf 泄露事件及其特洛伊化安装程序 的报道详细说明了攻击者如何进入该供应商的环境。

关键教训并不关乎某一家公司。特洛伊化安装程序看起来像真的，因为它是通过供应商自己的分发路径投递的。用户从官方来源下载，按传统标准做对了一切，最终仍得到一台被入侵的机器——这是信任模型的失败，而不是他们自己的粗心。

这就是为什么建议必须从仅“从官方网站下载”转变为“从官方网站下载，并确认该文件是供应商 intended 发布的文件”。这两项检查防范的是不同问题。

如何在安装前验证软件更新

你不需要成为开发者也能养成一些验证习惯。以下步骤大致按所需投入排序。

  • 检查数字签名。 在 Windows 上，右键单击安装程序，打开“属性”，查看“数字签名”选项卡。在 macOS 上，当你打开应用时，系统会检查签名和公证。发布者名称缺失或异常，都是停止安装的理由。
  • 比对校验和。 许多供应商会为每个版本发布 SHA-256 哈希值。计算你下载文件的哈希值，并将其与发布值进行比较。理想情况下，应在与下载链接分离的位置找到该值，例如发行说明或已签名公告。如果两者都在同一台被入侵的服务器上，匹配几乎证明不了什么。
  • 使用已签名软件包和包管理器。 信誉良好的包管理器会替你验证签名。尽可能优先使用它们，而不是手动下载安装程序。
  • 如果你构建软件，请固定并审查依赖项。 如果你运行会拉取开源软件包的脚本或项目，请锁定版本，而不是接受最新的任何版本，并在升级前审查变更。
  • 对非紧急更新稍作延迟。 发布后等待一小段时间，可让社区和供应商有机会标记被入侵的版本。关键安全补丁是例外，因此请自行判断。

没有任何单一检查是完美的。如果供应商的签名流程被入侵，签名也可能被滥用；而校验和只有在你从独立位置获取时才有帮助。层层检查才能提高门槛。

VPN 用户的警示信号和更安全的安装习惯

由于 VPN 软件处理敏感流量，它理应比普通应用采用更严格的例行流程。

留意这些警示信号：

  • 更新提示意外出现，且不在应用正常更新机制之内
  • 下载链接通过电子邮件、聊天或弹窗发送，而不是通过供应商自己的网站或你的应用商店获取
  • 安装程序请求比早期版本更多的权限
  • 文件缺少签名、发布者名称不同，或哈希值不匹配
  • 更新后出现异常行为，例如陌生进程、新的浏览器扩展或意外登录提醒

养成更安全的习惯：

  • 从供应商官方网站或你平台的应用商店安装 VPN 客户端，并收藏该地址，而不是每次搜索。
  • 为重要账户开启多因素认证，这样仅凭被盗密码还不够。
  • 使用密码管理器，避免在你并不完全信任的浏览器中保存凭据，从而限制窃取器能获取的内容。
  • 在用于敏感工作的设备上保留一套独立、最小化的软件。
  • 如果你怀疑安装程序被入侵，请断开网络，从干净设备更改密码，并撤销活动会话。

这对你意味着什么

自动更新不是敌人。对大多数人来说，保持补丁更新仍然比落后更安全。变化在于，更新不再值得盲目信任，尤其是对于会接触你的凭据或网络流量的软件。正如我们在关于特洛伊化安装程序如何隐藏后门的报道中所涵盖的那样，TrueConf 案例表明，即使是知名供应商的分发路径，也可能被反过来用于攻击其用户。

你可以通过小而可重复的步骤减少暴露风险，而不是持续担忧：确认签名，比对来自独立来源的校验和，并使用受多因素认证保护的账户，这样一次密码被盗不会解锁所有东西。

关键要点

  • 攻击者正在入侵合法的开源软件包和受信任的更新渠道，以投递窃取凭据的恶意软件。
  • 特洛伊化安装程序可能来自官方来源，因此仅凭来源并不能证明安全。
  • 要验证软件更新并识别供应链恶意软件，请检查签名、比对独立发布的校验和，并优先使用已签名的包管理器。
  • 将意外的更新提示、不匹配的哈希值以及更新后的异常行为视为警示信号。
  • 使用多因素认证和密码管理器保护你的账户，以在有问题漏过时限制损害。

从本周选择一个习惯开始，例如在下次更新 VPN 或安全工具时检查签名。然后阅读我们对 TrueConf 特洛伊化安装程序泄露事件 的报道，了解这类攻击在现实世界中如何展开。