SANS Stormcast Thursday, August 6th, 2026: keyv/cachable Worm IR; Apple Private Relay Leak; COLDCARD Phish

本週安全周報涵蓋三大威脅，首先是npm供應鏈的演進型攻擊。Cacheable npm等位於依賴鏈底層的熱門庫遭惡意軟體入侵，攻擊者展示出更成熟的兩階段策略。惡意軟體入侵後優先竊取GitHub等服務的API金鑰，但不會立即執行破壞性動作，而是持續檢查這些鑰匙是否仍有效。只有當竊得的鑰匙失效後（表示受害者已發現並撤銷），惡意軟體才會連接攻擊者基礎設施並執行第二階段——可能是銷毀本機檔案或進一步的橫向移動。這種設計迫使防禦者陷入兩難：立即撤銷遭竊鑰匙會觸發破壞動作，但不撤銷又保留攻擊者的訪問權限。Ronado提供的解決方案是物理隔離——斷開網路連接後，惡意軟體無法取得來自攻擊者基礎設施的400狀態碼回應，從而不執行第二階段。他同時發布了檢測與修復工具，關鍵優勢是零額外依賴，僅用Node.js內建的url庫等標準元件，避免引入新的供應鏈風險。

其次是Apple隱私防護功能的系統設計缺陷。Apple iCloud Private Relay原意是透過代理伺服器匿名化所有瀏覽器請求，但研究者Talal Hajpagri和Tomi Misc發現一個巧妙的漏洞：當使用者訪問提供Passkey（無密碼認證）的網站時，作業系統認證服務會直接發起HTTPS連線而非透過瀏覽器，這些系統層請求不會經過Private Relay代理，結果IP位址直接洩露給惡意網站。這不是Apple實作的錯誤，而是架構層的根本問題——所有WebKit衍生瀏覽器（Chrome、Firefox等iOS版本）都依賴作業系統層代理設定，Tor Browser也無法倖免。根本解決方案不是修補特定漏洞，而是改用作業系統層VPN取代瀏覽器層代理，讓包括認證服務在內的所有系統流量都受保護。

第三個問題涉及加密貨幣的冷錢包，Cold Card使用者持續面臨雙重威脅。先前爆發的弱隨機數生成器漏洞已導致部分用戶資金失竊，官方推出的修復韌體本應解決問題，但部分使用者報告更新後設備故障，導致加密資產永久無法存取。同時，詐騙集團透過偽造域名coldcardteamsnews.com發動釣魚攻擊，宣稱提供「審計指南」幫助用戶檢查是否受影響，實際導向惡意網站。使用者應在任何韌體更新前完整備份錢包，並對任何宣稱提供檢查指南的鏈結保持警惕。