假招聘攻擊滲入 DevOps：FlatRoof 事件的防護重點

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-09-22

iThome 報道，資安公司 SentinelOne 發現印度一家 IT 服務廠商遭入侵，疑似與北韓、以經濟利益為動機的 Jade Sleet 有關。研究人員把攻擊焦點指向一名 DevOps 工程師：攻擊者以假招聘面試及夾帶惡意內容的 Terraform 專案，誘使開發人員執行惡意程式，其 MacBook 隨後被植入 FlatRoof 與 RoofDeck 兩種 macOS 後門。資料顯示，雲端憑證、原始碼及瀏覽器資料都成為目標，影響因而可由一部工程師電腦延伸至整個 IT 服務商的環境。

不過，這宗事件仍有重要限制。SentinelOne 指出，兩個後門早於 3 月 18 日已出現在該筆電儲存空間，並在休眠後於 3 月 29 日才建立 beacon 和 C2 通訊、展開一連串活動；但研究人員並不清楚攻擊者最初如何把後門送到受害電腦。因此，假面試和惡意 Terraform 專案是高度相關的誘導手法，不能被寫成已獲完全證實的初始入侵途徑；Jade Sleet 的歸因同樣應保留「疑似」。

招聘接觸變成開發供應鏈入口

iThome 引述 SentinelOne 指出，這次行動針對 DevOps 工程師，並以看似專業工作的 Terraform 專案包裝惡意程式。它的危險之處不只在於釣魚訊息是否逼真，而在於它把求職者熟悉的工作情境——面試作業、程式碼評估、基礎設施範例——轉化為執行未經驗證程式的理由。對習慣從 repository 拉取專案、安裝相依項目和測試部署的工程師而言，這種包裝比一般附件或可疑連結更貼近日常流程。

這也解釋了為何 DevOps 角色特別值得防範。從來源描述可見，攻擊者關心的是雲端憑證、原始碼與瀏覽器資料；這幾類資料一旦集中在同一部日常開發用 Mac，可能讓攻擊者取得多個後續切入點。這是根據已披露目標作出的風險分析，並非代表受害公司所有系統均已失守。瀏覽器的登入狀態及電腦內的開發資料若集中在同一裝置，招聘社交工程一旦得手，影響便可能不限於單一帳戶。

為何 Terraform 專案值得獨立審查

Terraform 原本用於以程式碼方式管理基礎設施；在面試作業中提供相關專案，表面上亦符合 DevOps 職位要求。然而，iThome 報道所述案例說明，團隊不能把「基礎設施即程式碼」自動等同於低風險文字設定。專案可包含讓使用者執行額外指令的內容，亦可把檢查、建置與部署步驟串連起來。若工程師為完成作業而在已有公司登入狀態、雲端工具或源碼存取權的電腦上直接操作，隔離界線便會很薄弱。

較實際的做法，是把外來面試作業視作不受信任程式碼，先做靜態閱讀，再決定是否執行。審查應涵蓋專案檔案、文件指示、腳本及所要求下載的相依項目，尤其留意與職位評估無直接關係的執行步驟。若確有需要測試，應使用不含公司憑證、原始碼或日常瀏覽器登入資料的獨立環境。這類安排未必能判定每個惡意專案，卻能縮小誤執行後可能被存取的資料範圍。

Mac、瀏覽器與雲端憑證要分開處理

FlatRoof 與 RoofDeck 被描述為 macOS 後門，事件提醒團隊不要因工程師使用 Mac 而放鬆端點防護。來源所披露的時間線亦值得納入偵測思路：惡意程式寫入儲存空間和開始 beacon、C2 通訊之間可以相隔日子。只依賴使用者剛下載檔案時的警示，未必足以捕捉延後啟動的活動；端點遙測、異常外連監察及對可疑持久化跡象的調查，均需要能覆蓋這段時間差。

瀏覽器資料與雲端憑證則應按不同風險處理。就瀏覽器而言，工作帳戶不宜與測試來歷不明專案的環境混用，並應減少讓長期登入狀態成為單一電腦上的高價值資料。就雲端而言，團隊可檢視憑證是否被不必要地保留在開發機、是否有最小權限安排，以及是否具備撤銷與輪換流程。這些是由事件目標所引伸的防守建議，不代表 SentinelOne 已確認任何特定憑證在個案中被成功濫用。

給開發與外判團隊的流程清單

對香港的 DevOps 團隊、外判 IT 服務商，以及處理加密貨幣相關技術工作的團隊，這宗印度個案可作為招聘和開發流程的演練材料，但不能據此宣稱香港已有相同受害事件。iThome 指出，Jade Sleet 疑似把目標由加密貨幣領域擴展至一般 IT 與 DevOps 環境；同時，報道亦提到 WaterPlum 曾假借 IT 職缺針對網頁設計師、工程師和加密貨幣領域人士。兩者共同反映，職業接觸本身可成為跨境社交工程的切口。

團隊可先落實以下基本分工：招聘聯絡要有可驗證的公司與聯絡人渠道；面試作業要由獨立、低權限環境處理；外來 repository 不應直接接觸生產或敏感雲端憑證；任何異常下載、未知指令或不尋常外連，都應有清晰的上報與調查路徑。管理層亦要讓工程師能夠拒絕可疑「即場測試」要求，不把快速完成面試作業當成唯一優先事項。

下一步值得觀察的是，SentinelOne 能否釐清後門最初送達受害電腦的方式，以及此類以假招聘為題的行動會否繼續擴至更多非加密貨幣的技術職位。在答案出現前，開發團隊最可控的工作，是把外部面試專案、個人開發裝置與公司雲端權限分隔，並把延後出現的端點異常納入日常偵測。