中国政企软件供应链攻击现状分析报告_25页_1mb

报告摘要

中国政企软件供应链攻击现状分析报告总结

报告摘要

本报告由360天擎团队于2017年9月发布，旨在分析中国政企机构在软件供应链攻击中的现状、典型攻击事件及防范建议。报告指出，软件供应链攻击利用合法软件的信任关系，通过下载、升级、信息推送等环节植入恶意代码，给政企机构带来严重安全威胁。重点行业如政府、金融、能源等，因其软件应用特点，面临更高的风险。360提出了一系列解决方案，包括构建安全下载平台、管控升级通道、实施白名单机制等，以提升政企机构在软件供应链攻击中的防御能力。

核心内容

主要观点

软件供应链攻击利用合法软件的信任关系，通过漏洞、篡改、挂马等方式实现攻击。
免费软件成为攻击的主要载体，因其广泛使用且缺乏监管，成为不法分子的首选。
付费软件虽安全性较高，但由于信任关系，一旦被攻击，破坏力也较大。
政企机构在软件使用中存在较多风险点，尤其是免费软件的广泛安装和缺乏统一管理。

关键信息

攻击方式包括劫持、篡改、挂马等。
攻击载体包括播放器、游戏软件、浏览器、下载工具、行业软件等。
攻击路径主要集中在下载安装、升级维护和信息推送阶段。
受影响范围广泛，部分攻击事件涉及数百万台设备。
风险提示：安装量和覆盖率越高的软件，遭遇供应链攻击的可能性越大。

第一章软件供应链攻击事件分析

典型事件分析

播放器挂马
- 描述：通过合法播放器广告页面注入恶意代码，利用IE漏洞传播。
- 影响范围：353万次拦截。
- 传播载体：搜狐影音等播放器。
- 爆发关键：广告页面中注入恶意代码，利用IE漏洞传播。
域影
- 描述：通过运营商内容劫持，向用户电脑注入Flash挂马代码。
- 影响范围：20万次拦截。
- 传播载体：英雄联盟、QQLive等娱乐软件。
- 爆发关键：利用广告商投放的带有木马的广告，结合客户端漏洞传播。
hao123下载器
- 描述：第三方外包团队在下载器中植入恶意代码，用于流量劫持和分成。
- 影响范围：所有从hao123网站下载的用户。
- 传播载体：hao123下载器。
- 爆发关键：外包团队植入恶意插件，利用下载器漏洞传播。
流行软件集体挂马
- 描述：通过广告联盟推送的网页广告，利用IE漏洞进行挂马。
- 影响范围：十余款流行软件用户。
- 传播载体：播放器、游戏、输入法、压缩软件等。
- 爆发关键：广告联盟投放带恶意代码的网页广告，利用IE漏洞传播。
Fireball
- 描述：通过强制修改Chrome主页和安装恶意扩展程序传播。
- 影响范围：全球2.5亿用户。
- 传播载体：Chrome浏览器。
- 爆发关键：强制安装，利用浏览器漏洞。
暗云III
- 描述：通过外挂、游戏辅助等软件诱导用户关闭安全软件，实现木马传播。
- 影响范围：百万台电脑。
- 传播载体：外挂、游戏辅助等。
- 爆发关键：诱导用户关闭安全软件，实现木马植入。
Petya
- 描述：通过感染乌克兰流行会计软件M.E.Doc的更新服务器传播。
- 影响范围：欧洲多个国家，包括乌克兰、俄罗斯、印度等。
- 传播载体：M.E.Doc更新程序。
- 爆发关键：利用软件更新通道，传播勒索病毒。
大规模软件升级劫持
- 描述：通过劫持升级域名，向用户推送篡改的安装包。
- 影响范围：数百万次攻击拦截。
- 传播载体：爱奇艺、百度云盘等软件。
- 爆发关键：网络劫持，将合法软件替换为带恶意程序的“假软件”。
擒狼
- 描述：通过网页广告注入恶意代码，实现浏览器劫持和远程控制。
- 影响范围：3万多次攻击拦截。
- 传播载体：网络广告页面。
- 爆发关键：利用广告联盟投放带恶意代码的广告，通过漏洞传播。
异鬼II
- 描述：隐藏在刷机软件中，具有数字签名，绕过安全防护。
- 影响范围：上百万台用户机器。
- 传播载体：刷机软件。
- 爆发关键：利用刷机软件的数字签名绕过安全防护。
Kuzzle
- 描述：假冒安全软件，盗用知名厂商数字签名，实现远程控制。
- 影响范围：主流浏览器首页被劫持。
- 传播载体：下载站高速下载器。
- 爆发关键：盗用数字签名，利用安全软件信任机制传播。
XshellGhost
- 描述：Xshell组件中存在后门代码，导致敏感信息泄露。
- 影响范围：约十万用户受影响。
- 传播载体：Xshell等编程开发软件。
- 爆发关键：DLL组件存在后门，利用合法签名绕过查杀。