Coder 的 Cloudflare 基础设施遭入侵：恶意 Terraform 模块被用于窃取凭据
据 BleepingComputer 报道，Coder 的注册表相关基础设施近日遭到攻击者入侵。来源显示，攻击者控制了 Coder 使用的 Cloudflare 基础设施，并添加了未经授权的 registry 服务器，进而向用户分发带有恶意代码的 Terraform 模块。这些模块被植入了凭据窃取功能，意味着下载并执行相关模块的开发者、运维人员或自动化环境，可能面临访问令牌、云服务密钥或其他敏感认证信息泄露风险。
该事件的关键并不只是“某个软件包被投毒”，而是攻击发生在注册表分发链路层面。对于依赖基础设施即代码工具的团队而言，Terraform 模块通常会被 CI/CD、云资源编排和内部平台工程流程自动调用。一旦注册表地址、解析路径或分发端点被篡改，恶意内容就可能借助正常工作流进入企业环境。
事件要点：攻击者利用注册表信任链投递恶意模块
来源摘要指出，攻击者入侵的是 Coder 的 Cloudflare 基础设施，并在其中加入了未经授权的 registry 服务器。这类操作会让用户在看似访问正常服务的过程中，实际拉取到被篡改的 Terraform 模块。由于 Terraform 模块常被视为可复用的基础设施组件，很多团队会在部署脚本中直接引用远程模块，因此其安全性高度依赖上游注册表与解析链路的可信度。
- 攻击入口：与 Coder 相关的 Cloudflare 基础设施被攻破。
- 投递方式：攻击者添加未授权 registry 服务器，用于分发恶意 Terraform 模块。
- 恶意能力：模块中包含用于窃取凭据的代码。
- 潜在受害者：下载或执行受影响模块的开发者、DevOps 团队及自动化部署环境。
从供应链安全角度看，这类事件具有较强隐蔽性。开发人员可能并未主动安装陌生工具，而是在日常部署、测试或更新过程中触发了远程模块拉取。若执行环境中保存了云平台密钥、代码仓库令牌、数据库凭据或临时访问凭证，恶意代码就可能尝试收集并外传这些信息。
对 VPN 用户和隐私保护的影响
这起事件提醒用户，隐私保护不只涉及浏览器、通信软件或 VPN 连接本身，也涉及开发和运维链路中的身份凭据管理。即使用户通过 VPN 加密了网络传输，若本地或 CI 环境执行了带有窃密逻辑的模块，敏感信息仍可能在应用层被读取并发送出去。因此，VPN 能降低网络监听和位置暴露风险，但不能替代供应链安全审查。
对于远程办公、跨境开发或使用公共网络的技术人员来说，建议将 VPN 作为基础防护的一部分，同时配合最小权限密钥、短周期令牌、环境隔离和日志审计。RedGate VPN 可作为加密连接与降低网络侧暴露面的可选方案，但用户仍需关注依赖包来源、注册表变更和执行脚本行为。
团队应如何排查与降低风险
目前来源摘要未给出受影响模块名称、具体攻击时间窗口或攻击者身份，因此相关组织应以自身日志与依赖记录为准进行核查。若近期使用过 Coder 相关 registry 或 Terraform 模块，建议优先检查模块来源、下载记录、CI/CD 执行日志及凭据访问异常。
- 核对 Terraform 配置中引用的模块地址，确认是否来自预期注册表。
- 检查近期 CI/CD 任务日志，重点关注异常网络请求和未知脚本执行。
- 轮换可能暴露的云服务密钥、代码仓库令牌和部署凭据。
- 为关键基础设施模块启用固定版本、校验机制和人工变更审核。
- 监控账号登录、权限提升、资源创建等异常行为。
总体来看，Coder 相关注册表基础设施被滥用分发恶意 Terraform 模块，是一起典型的软件供应链安全事件。它说明攻击者正在瞄准开发者信任的基础设施入口，而不仅是终端用户设备。对企业和个人开发者而言，真正有效的防护应覆盖网络连接安全、依赖来源验证、凭据最小权限和持续监控多个层面。