當瀏覽器成為駭客的礦場：Hola供應鏈攻擊始末

一旦隨瀏覽器安裝完畢，這個惡意軟體便會透過一系列縝密的動作，在系統中站穩腳跟：

• 偽裝檔案寫入： 它會將自身複製到

  C:\Program Files\Hola\HolaMonitorService.exe

  這個路徑。無論是檔案名稱或存放路徑，都刻意設計得讓使用者以為，這只是瀏覽器正常的監控元件。
• 建立持久化服務： 它在系統中建立一個名為 hola_monitor_svc 的Windows服務，並將其啟動類型設為 0x00000002（即自動啟動），確保每次電腦開機都會連帶啟動這個挖礦服務。
• 繞過內建防毒： 為了避開Windows Defender的掃描，此惡意軟體還設法加入了排除路徑規則。
• 混淆與匿名： me.exe 這個執行檔並無數位簽章，程式碼經過混淆處理，也沒有有效的時間戳記。資安研究人員指出，連檔案名稱本身都選用了一個毫不顯眼的名字，以便隱沒在正常的系統程序中。

影響範圍雖小，攻擊本質嚴峻

就影響範圍而言，這次事件相對輕微。Sophos預估，僅約0.1%的Hola瀏覽器使用者受到波及。然而，這起事件可謂教科書等級的供應鏈攻擊案例：駭客將一個受信賴的軟體發布管道，化為攻擊使用者的工具，輕而易舉地繞過了一般人對官方安裝檔的信任與安全審查。

這個攻擊並非直接入侵Hola的原始碼，而是突顯了軟體「建構與發布管線」（Build and Release Pipeline）的脆弱性。這提醒了所有軟體開發商：即使工程師寫出乾淨的程式碼，只要在後續的編譯、打包或發布過程中，有任一個環節被滲透，最終送到使用者手中的產品都可能被污染。

Hola的應變與未解之謎

在Sophos X-Ops通報發現後，Hola立即採取行動以控制損害並防止事件重演。該公司公布的補救措施包括：

• 從零重建分發管線，徹底斷絕攻擊者可能殘留的任何存取權限。
• 實作程式碼簽章驗證機制，阻絕未經簽署和授權的二進位檔案通過建構流程。
• 導入更嚴格的存取控制與持續監控，強化分發基礎設施的安全性。

然而，即便做到以上種種，在2026年6月4日事件公開時，仍有幾個關鍵問題懸而未決。Hola至今並未對外揭露攻擊者最初入侵分發管線的切入點（攻擊向量）、其真實身分，以及究竟潛伏了多久。缺乏完整的鑑識全貌，讓這起事件對廣大使用者和資安社群來說，與其說是已落幕的危機，更像是留下一個未完的警世寓言，和一張知識拼圖仍缺角的安全威脅圖像。