新型恶意代码"沙虫3.0(Shai Hulud 3.0)"被公开，使得基于开源软件的供应链安全问题再次引发高度关注。据悉，此变种比现有恶意代码进化得更为精密，并且强化了用于规避检测的隐匿技术。
沙虫是去年9月首次被发现的恶意代码，其并非采用传统的终端感染方式，而是通过瞄准JavaScript生态系统、利用软件供应链进行攻击而闻名。其特点是伪装成特洛伊木马形式的npm(Node Package Manager)包，窃取开发者凭证并自我传播。
此次新发现的3.0版本是由安全公司Aikido Security NV检测到的，应用了比以往版本更先进的技术。它在代码模块化、错误处理改进、混淆水平提升的同时，还确保了包括Windows在内的多种JavaScript运行时环境的兼容性。这些技术进步极大地提升了恶意代码的持久性和渗透力。
截至目前，该变种通过相对少量的软件包进行有限分发。安全专家分析认为，这种有限分发很可能是出于测试目的的试点攻击。这意味着网络攻击者正在特定环境中验证恶意代码的性能，为实际大规模攻击做准备。
这种针对供应链本身的攻击手法，印证了"开发环境"正在成为新的安全盲区。攻击者通过在开源依赖中插入恶意代码来绕过外部防御，从而能够轻松访问云基础设施、源代码仓库、部署管道等核心系统。
沉浸式安全平台公司Mondoo Inc.的首席安全官Patrick Munch通过电子邮件分析称："沙虫3.0一旦启动，便成为无法再控制的'发射后不管(Fire-and-Forget)'型攻击工具"，"这种快速进化清楚地表明，软件供应链仍然是威胁势力的主要目标。"
他接着强调："掌控核心开发平台，攻击者就能轻易收集凭证或引发严重的系统混乱"，"未来类似供应链攻击的频率和危险性很可能会进一步增加。"
此类恶意代码的进化向开发者乃至各行业敲响了警钟。这一暴露了以开源环境信任为基础运行的现代软件生态系统结构性漏洞的案例，要求未来在政策应对和技术补强方面采取行动。
