前言
隨著資安攻擊方式的演進，「釣魚」（phishing）不再僅限於電子郵件或連結，而是悄然偽裝在合法軟體安裝程式內部，成為一種更難察覺的攻擊形式。這種「安裝程式釣魚」（installer phishing）特別對汽車產業造成嚴峻威脅，尤其威脅到整個軟體供應鏈的安全與可信度。以下報告將針對此類攻擊進行完整剖析，探討它如何運作、影響哪些領域、產業應如何防禦，並提出最佳實踐建議。
攻擊方式解析：安裝程式釣魚的運作機制
傳統觀念中釣魚攻擊總是透過欺騙性電子郵件或虛假網頁連結進行，但現代攻擊更加隱蔽。例如，一名校準工程師從供應商的官方網站下載名為 “CAN viewer 3.4 setup.exe” 的工具，但這個安裝程式雖表面正常，實際上已遭植入惡意程式。使用者一旦安裝，即觸發背後的攻擊程式碼。這類攻擊依賴於使用者對下載來源的高信任感，讓惡意程式得以順利入侵，不易被察覺。
植入的惡意程式如 RedLine Stealer，會自動竄取敏感資訊，包括使用者憑證、Git 存取權杖（tokens），甚至是程式簽章金鑰。這些數據一旦外洩，攻擊者便能進一步入侵 OTA（Over-The-Air 更新）簽章系統，或滲透韌體建置環境，由此展開針對整個供應鏈的滲透與破壞。
案例參考：相似攻擊的真實歷史
這類透過合法工具進行攻擊的方式並非假設。例如 2018 年 ASUS 的 ShadowHammer 事件，攻擊者在官方更新工具中植入木馬，且使用 ASUS 自家的簽章簽署，造成上百萬臺電腦感染。近年亦有攻擊者利用偽造 Zoom 安裝程式與 MSIX 包散佈惡意程式，以此突破傳統防禦。這些事件共同證明，簽名可被濫用，合法安裝程式可能成為最具隱匿性的攻擊媒介。
為何汽車軟體供應鏈風險更高
- 高度依賴工具與部件下載流程：汽車開發流程繁複，工程師常透過供應商門戶下載工具或韌體檔案，一再重複安裝。若這些工具遭篡改，惡意程式將輕易滲透整個工廠環境，甚至跨越至車輛出廠後的 OTA 更新流程。
- 憑證與簽章金鑰的集中價值：汽車產業使用大量的憑證與簽章金鑰，用於 OTA 更新與韌體簽章，這些關鍵資料若被竊取，攻擊者可能利用它們發佈偽造更新，導致整體車隊被遠端控制或植入惡意程式。
- 傳統防禦對此類攻擊無效：常見的防毒軟體與網頁過濾無法偵測這類混入合法安裝程式的惡意滲透。因為檔案簽章看似合法，檔案外觀也毫無異狀，系統很可能忽略其為危險來源。
防禦策略：從零信任架構出發
- 建立零信任驗證流程：不論來源是否被信任，每一個安裝程式都應被視為潛在風險，必須通過相同的檢驗流程。所有工具與安裝包都應要求供應商提供可驗證的來源與 SHA 校驗值，並在進入內部系統前強制篩檢。
- 自動化一致性驗證：透過自動化工具核對下載檔的內容是否與供應商的原始版一致，包括檔案結構、版本資訊與哈希值。若與預期不符，立即阻斷安裝流程並予以標記。
- 隔離安裝環境：將軟體安裝行為集中引導至隔離的沙箱中進行，避免惡意程式影響開發機或建置環境。若安裝程式在沙箱中釋出意圖外的行為或啟動可疑程式，應即時中止並回報。
- 定期稽核與供應商管理：要求軟體供應商建立安全開發與簽章流程，包含簽章金鑰的嚴密管理，並定期進行第三方安全評估。與供應商共享發現的可疑行為，提高整體供應鏈的透明度與信任度。
- 實施入侵偵測與可信運作監控：在開發機與建置系統中部署行為監控與入侵偵測機制，例如偵測大流量外傳、非預期的伺服器連線或異常進程啟動。出現異常時即啟動告警與阻隔動作。
對 OEM 與 Tier-1 供應商的建議
汽車製造商（OEM）應納入整個供應鏈於資安管理範圍，將工具下載與安裝行為視為高風險環節，加以監控。Tier-1 供應商則應主動配合，確保所有發佈的安裝程式均經過完整簽章驗證、建立 SBOM（Software Bill Of Materials），並支援檔案同步性檢查與回溯機制。
長期營運與政策建議
建議推動業界標準流程，如要求所有車用軟體工具必須符合資安製造要求與簽章標準。監管機構亦可介入，針對 OTA 系統、供應鏈漏洞及工具簽章規範，制定強制性的資安合規標準，納入產品上市條件或市場審查程序。
結語
「釣魚攻擊不只出現在電子郵件」這篇報導揭露一個令人不安的資安盲點：合法安裝程式可能成為入侵供應鏈的起點，透過 RedLine Stealer 等惡意程式竊取憑證與簽章金鑰，攻擊者能而後發起分布式滲透，導致車廠、供應商與車主全面受到威脅。唯有採用零信任架構、自動化一致性驗證、隔離沙箱技術、強化供應商管理與政策制定，才能真正切斷這類攻擊鏈條，確保汽車軟體供應鏈的整體安全。
資料來源：https://www.vicone.com/zh/blog/phishing-beyond-emails-how-compromised-installers-threaten-automotive-software-supply-chains
本報導深入探討汽車產業面臨的資安新威脅：惡意安裝程式。當開發者信任並安裝被竄改的工具時，Redline Stealer等惡意軟體便能竊取敏感憑證與程式碼簽署金鑰，對汽車製造商造成嚴重影響。