2019年3月25日，安全廠商卡巴斯基公開披露了針對(duì)華碩（ASUS）升級(jí)服務(wù)的供應(yīng)鏈攻擊活動(dòng)。該攻擊活動(dòng)主要活躍時(shí)間為2018年6月至11月之間，受影響的是華碩更新程序Live Update，該程序預(yù)裝在大多數(shù)華碩品牌計(jì)算機(jī)上 。攻擊者通過華碩的升級(jí)服務(wù)器下發(fā)被污染的Live Update升級(jí)程序，受污染的升級(jí)程序帶有正常的華碩簽名。已知安裝了該惡意更新程序的用戶超過百萬，雖然該攻擊活動(dòng)只針對(duì)特定MAC地址的用戶，但攻擊者通過更新升級(jí)程序可以攻擊所有受影響用戶，導(dǎo)致用戶計(jì)算機(jī)被攻擊者完全控制。這類來源于供應(yīng)鏈并最終造成巨大危害的安全事件其實(shí)并不少見，在本報(bào)告中，360威脅情報(bào)中心對(duì)軟件供應(yīng)鏈的概念進(jìn)行了梳理，分析了各環(huán)節(jié)中已有的事件實(shí)例，最后提供一些從供應(yīng)鏈安全角度對(duì)威脅進(jìn)行防護(hù)的對(duì)策和建議。
