名词解析-软件供应链安全攻击案例

01 Blackwell和Millersville大学管理系统供应链攻击

2022年初,以提供学习管理系统为生的供应商Blackboard Inc遭到了黑客入侵。 利用这家供应商的系统权限,黑客顺藤摸瓜,很快攻入了其客户之一的Millersville大学网络,并进一步渗透链接到该校系统的另一家学校Blackwell教育服务网。这场发端于小供应商的供应链攻击,让12万学生和员工的个人信息沦为黑客掠夺品。供应链效应放大了原本隐蔽的攻击力度。

02 食品供应链攻击

2023年4月,食品业巨头JBS的美国牛肉厂再次成为黑客目标。黑客攻陷了JBS一个负责运输和物流的供应商的系统,并通过该供应商的访问权限成功入侵JBS加工厂的网络环境,使用新变种勒索软件RansomEXX加密了工业控制系统,导致JBS位于美国多个州的6家牛肉加工厂被迫停工。JBS此前在2021年5月也遭到过规模巨大的勒索软件攻击。供应链风险的反复利用给食品安全敲响了警钟。

03 利用Config Server 攻击SAML平台

2022年6月,黑客利用开源配置管理系统Spring Cloud Config Server的安全漏洞,实现了对服务供应商一站式SAML身份认证平台的供应链攻击。该平台为众多企业客户提供身份验证服务。黑客将恶意代码注入Config Server系统,然后通过配置更改将其传递到SAML平台,从而进一步向客户发起攻击。这种多级供应链攻击实现了隐蔽而持久的渗透。尽管供应商赶忙修补漏洞,但已有数十家客户因此面临安全风险。