Coder 注册表基础设施遭入侵：恶意 Terraform 模块被用于窃取凭据

据 BleepingComputer 报道，Coder 的 Cloudflare 基础设施遭到攻击者入侵，攻击者在相关注册表环境中加入了未经授权的 registry 服务器，并借此分发带有凭据窃取代码的恶意 Terraform 模块。来源发布时间为 2026 年 9 月 4 日。该事件的核心风险不在于单一账号被盗，而在于开发者和企业自动化部署链路中常用的基础设施即代码组件被污染，可能影响到使用相关模块进行云资源配置、远程开发环境搭建或自动化运维的团队。

从跨境网络与账号安全角度看，这类事件尤其值得关注。Terraform 模块往往会接触云平台访问密钥、CI/CD 环境变量、服务账号令牌以及远程办公系统凭据。一旦模块中被植入窃取逻辑，使用者即使没有主动下载可疑软件，也可能在正常部署过程中泄露关键凭据，进而影响云账号、代码仓库、支付绑定资源和企业内部访问权限。

事件要点：注册表链路被滥用，恶意模块伪装成正常依赖

来源显示，攻击者并非简单投放钓鱼页面，而是利用了 Coder 的 Cloudflare 基础设施相关环节，在注册表层面增加未授权服务器，使用户可能从被操控的 registry 获取 Terraform 模块。这种方式的隐蔽性较强，因为很多团队依赖自动化脚本拉取模块，日常操作中并不会逐一检查模块来源和内容。

Terraform 模块的风险在于其运行场景通常具备较高权限。开发者可能用它创建云主机、配置网络策略、绑定存储桶、部署远程开发工作区，相关流程中常常包含云服务凭据或可访问敏感资源的令牌。如果模块被加入凭据窃取代码，攻击者有机会获得后续横向移动所需的入口。

• 使用 Coder 或相关 registry 拉取 Terraform 模块的团队，应优先核查近期模块来源是否异常。
• 涉及云平台密钥、服务账号、CI/CD Token 的环境，应评估是否需要轮换凭据。
• 自动化部署日志、出站连接记录和异常 DNS/HTTP 请求值得重点排查。
• 对远程开发环境、代码仓库与云控制台账号，应检查是否出现陌生登录或权限变更。

对跨境用户的影响：账号、支付与远程办公环境都可能被间接波及

许多跨境团队会把远程开发、海外云主机、代码仓库和协作平台串联使用：开发者在不同地区登录，CI/CD 在云端执行，账单和支付方式绑定在云服务账号中。此次事件提醒用户，供应链层面的基础设施被污染，可能绕过传统的网页登录防护。即便账号启用了复杂密码，若部署流程中的密钥被恶意模块读取，攻击者仍可能获得访问权限。

对于依赖海外云平台的个人开发者和中小团队，风险还可能延伸到费用与支付层面。云账号凭据泄露后，攻击者可能滥用资源，造成异常账单；如果账号绑定了信用卡、企业付款方式或预充值余额，后续处置会更复杂。来源并未说明具体受影响用户规模或损失金额，因此不能断定所有 Coder 用户都已受害，但使用相关基础设施的人群需要进行主动检查。

排查与防护建议：先确认来源，再处理凭据

面对此类注册表供应链事件，单纯更换网络出口或使用 VPN 并不能解决问题。VPN 只能改善访问路径或加密传输的一部分场景，关键仍在于确认依赖来源、审计代码内容和轮换可能暴露的密钥。跨境远程办公团队应把“依赖可信度”纳入账号安全管理，而不是只关注登录地、IP 风险和验证码。

建议管理员从近期使用的 Terraform 模块清单入手，核对模块地址、版本、校验值和提交记录；同时检查 CI/CD 系统、云平台 IAM、代码仓库 Secret、远程开发工作区配置中是否存放长期有效凭据。若发现异常模块或不明出站请求，应尽快撤销旧密钥、生成新密钥，并查看云审计日志中的资源创建、权限授予和登录记录。

对于个人用户，尤其是经常在海外节点、公司网络和家庭网络之间切换的开发者，也应避免在本地明文保存云访问密钥，并减少把高权限 Token 暴露给自动化脚本。这起事件再次说明，跨境访问稳定性只是基础，账号与供应链安全同样决定远程工作的可靠性。