GitHub 供应链攻击实录：攻击者利用 PR 植入后门被拦截

2026 年 7 月 28 日，GitHub 上一个名为 `myNetwork` 的开源项目险遭复杂的供应链攻击。攻击者伪装成热心贡献者，提交了针对多宿主主机网络扫描卡顿问题的修复代码（PR #3）。尽管该 PR 表面解决了技术问题，但社区安全研究员敏锐地发现其中包含隐藏的恶意逻辑。在经过数轮激烈的辩论与代码审查后，项目所有者最终在 `scripts/install-app-deps.js` 中发现了名为“postinstall dropper”的恶意代码，该代码试图在软件安装阶段下载并执行远程脚本，从而在用户机器上植入后门。攻击者甚至在被发现后试图通过重写 Git 提交历史来销毁证据，但最终被项目维护者识破并关闭了合并请求。

事件分析

💡 核心观点：供应链攻击已进化为“特洛伊木马”式的社会工程学陷阱，单纯的自动化扫描已不足够，唯有零信任的代码审查机制才能守住防线。