2025软硬件产品供应链攻击分析报告_73页_2mb

软硬件产品供应链攻击分析报告总结

1. 摘要

报告通过分析近年来的供应链攻击案例，揭示了软硬件产品在开发、交付、使用各环节面临的安全威胁。案例涵盖了开发工具污染、第三方库投毒、恶意更新、域名劫持、服务污染等攻击向量，涉及包括勒索软件、挖矿程序、木马植入等多种恶意行为。部分案例发生在国家级攻击活动中，具有高度针对性和破坏性。供应链攻击的用户影响范围广，甚至涉及百万级用户，且攻击事件数量呈上升趋势。

2. 概述

报告聚焦于软硬件供应链的概念划分，包括开发、交付和使用三个核心环节。通过分析大量真实案例，报告指出供应链攻击的手段多样化，包括恶意代码植入、凭证窃取、远程控制等，且攻击者越来越倾向于利用开源库、第三方工具等载体进行隐蔽传播。

3. 概念和环节划分

• 开发环节
  攻击发生在开发环境或工具中，如 XcodeGhost、XZ Utils 后门事件，攻击者通过污染源代码或开发工具进行危害传播。

• 交付环节
  主要表现为软件捆绑、恶意下载或域名劫持（如 “Shai-Hulud”蠕虫、黑产团伙供应链投毒）。

• 使用环节
  包含升级劫持、凭证窃取及服务污染，如勒索软件事件、OAuth令牌窃取、服务域名劫持等。

此外，报告特别提到中国大陆存在的灰色软件供应链（破解、汉化程序等），威胁范围广泛。

4. 攻击场景与案例分析

攻击者针对供应链的多个环节进行渗透，具体包括：

开发工具污染

• XcodeGhost (2015)
  恶意代码污染开发工具，影响数百万 iPhone 应用。

• Shai-Hulud (2025)
  通过 npm 抢单日感染500个包，利用级联式传播进行恶意活动。

• Nx恶意包攻击 (2025)
  通过构建工具污染注入后door代码，泄露敏感信息。

第三方库投毒

• XZ Utils后门事件 (2024)
  通过操纵开源工具 XZ Utils，实现SSH未授权访问。

• npm供应链攻击
  发生多起 npm 包投毒案例，如 qix事件、GhostAction活动，累计影响数亿次下载。

• 开源组件污染（如 Rustdecimal、tinycolor）
  攻击者篡改合法开源库，窃取大量敏感信息。

恶意更新与升级劫持

• Kaseya VSA供应链攻击 (2021)
  勒索软件通过更新系统扩散，影响全球数千家企业。

• DogWifTool变种 (2025)
  恶意升级隐藏转账功能，窃取加密货币。

• 等等。

下载劫持与交付污染

• 域名劫持（如 bshare.cn事件）
  抢注通用服务域名，向 millions 网页注入恶意代码。

• 下载链污染（如 C2 域劫持）
  等作品，隐蔽传播恶意程序。

物理链攻击

• 黎巴嫩寻呼机爆炸事件 (2024)
  攻击者篡改通讯设备，远程触发爆炸装置。

5. 主要发现与结论

• 分布特征：供应链攻击以“交付环节”为主，但开发环境与、 络服务遭攻击套。

完整总结见原Markdown报告。

报告详细的 analyzed 类型 作案手段及防范措施可参考原始内容获取。