、前言
自病毒木馬誕生起，殺毒軟件與病毒木馬的斗爭一直都沒有停止過。從特征碼查殺，到現在的人工智能查殺，殺毒軟件的查殺技術也是越來越復雜。但是病毒木馬卻仍然層出不，這是因為大部分病毒木馬使用了免殺技術。
免殺技術全稱為反殺毒技術（Anti Anti-Virus），簡稱“免殺”，指的是一種能使病毒木馬免于被殺毒軟件查殺的技術。不管是釣魚攻擊，還是Web滲透，對使用的病毒木馬進行免殺處理，都是必不可少的操作。
在某次網絡攻防演練期間，我們捕獲了一個免殺樣本，主要使用了“LOLBins”免殺技術。這篇文章將對該樣本進行分析，以此揭開此類免殺技術的神秘面紗。
二、LOLBins概述
LOLBins，全稱為“Living-Off-the-Land Binaries”，這個概念最初在2013年DerbyCon黑客大會由Christopher Campbell和Matt Graeber創造，最終由Philip Goh提出。指的是在目標操作系統上運行受信任的合法進程來執行惡意活動，例如橫向移動、權限提升和遠程控制等。
通俗來講，就是大家所熟悉的“白名單”免殺技術。比如常見的Powershell.exe、Certutil.exe和Mshta.exe等程序，都屬于LOLBins范疇。在一些APT攻擊中，也可以看到使用LOLBins免殺技術進行攻擊的活動。比如，海蓮花APT組織曾使用微軟操作系統自帶的程序MSBuild.exe運行遠程控制木馬，達到免殺的效果。為了達到比較好的免殺效果，LOLBins的選取是有一定要求的。一般來說，需要包含如下特征：
1) 帶有Microsoft簽名或者第三方簽名的程序。
2) 具有可被用于利用的功能（比如上傳、下載和代碼執行等）。
三、免殺原理
LOLBins為什么可以達到免殺效果？
在解答這個問題之前，我們先了解下殺毒軟件的查殺原理。
一般來說，殺毒軟件對一個文件會采用多種方法進行查殺。大約可以分為兩大類：靜態查殺和行為查殺。
靜態查殺主要包含病毒特征碼、文件屬性（HASH、圖標、開發者信息）等查殺，指未運行樣本采用的文件掃描技術；
行為查殺主要包含沙箱模擬執行、主動防御和人工智能等查殺，是基于程序行為進行分析判斷，多端聯動的查殺技術。
例如，樣本剛“落地”就被殺毒軟件查殺了，說明被靜態查殺了；如果樣本運行起來了，執行某些操作時被查殺了，說明此時樣本的危險行為被殺毒軟件檢測到了。
為什么LOLBins文件可以實現免殺？
這是因為LOLBins一般是正常的程序，對殺毒軟件而言，是可信任的程序，所以基本上可以躲過殺毒軟件的靜態查殺。至于行為查殺，每種殺毒軟件的實現、查殺策略多有不同。有的只要是可信任的程序，即使有高危行為也不予查殺；有的則相反，不管是不是可信任的程序，只要有高危行為，也會被查殺。
總的來說，從以下幾個方面進行處理，可以實現較好的免殺效果：
1、文件特征
2、內存特征
3、程序行為
4、網絡通信
選用LOLBins程序，基本不用考慮文件特征，直接靜態免殺，這個是比較好的免殺思路。如果使用流行的黑客工具或者木馬，需要對內存中的代碼進行加花、混淆，避免內存特征被檢測到。對于程序的行為，需要對選取的LOLBins程序進行測試，如果高危行為被查殺了，可以考慮使用其他的LOLBins程序執行高危操作。
網絡通信數據避免使用明文，使用加密算法等進行加密，遠程服務器盡量偽裝為正常的服務器，必要時可以采用CDN，域前置，云函數等手法隱藏服務器IP。
試想，整個惡意活動全程使用LOLBins，形成LOLBins利用鏈，殺毒軟件會報毒嗎？
四、逆向分析
到目前為止，我們已經知道如何免殺的理論知識了。那么接下來逆向分析這個免殺樣本，并借鑒它的方法，自己動手實現免殺。
樣本名為LiveUpdate.exe，MD5:9050ac019b4c8dddbc5e250bb87cf9f2，這是NetSarang公司XSHELL、XFTP、XMANAGER、XLPD系列工具的更新程序，數字簽名正常，如下圖所示：
該樣本早在2020年被上傳到某些在線威脅情報平臺進行檢測，可能很早就被作為LOLBins進行利用，如下圖所示：
樣本運行后，會加載同目錄下后綴為dat的同名文件，也就是LiveUpdate.dat，然后解密該文件，解析其中的腳本代碼并執行，完成軟件更新。LiveUpdate.dat實際上是一個zip壓縮文件，解壓密碼為99B2328D3FDF4E9E98559B4414F7ACB9，如下圖所示：
解壓成功后，得到5個文件：_TUProj.dat、_TUProjDT.dat、IRIMG1.JPG、IRIMG2.JPG、IRIMG3.JPG、和IRIMG4.JPG。執行的腳本在_TUProj.dat文件中，如下圖所示：
可以看出，這是Lua腳本語言。這個更新程序實際上是一個Lua腳本解析執行引擎，可以自定義Lua代碼，實現文件上傳、下載，進程管理，注冊表管理，服務管理，命令執行等功能，完全可以作為LOLBins，實現免殺。
樣本中將CS遠程控制木馬的Shellcode轉化為數字存放在數組中，如下圖所示：
然后使用DLL.CallFunction函數調用Windows原生API函數VirtualAlloc，在內存中申請新的空間存放木馬的Shellcode，如下圖所示：
最后調用CreateThread函數創建新線程運行木馬Shellcode，實現遠程控制的功能。其中還加入了正常的網絡請求，混淆網絡通信，如下圖所示：
五、免殺測試
按照逆向分析結果和免殺原理，我們同樣使用CS木馬的Shellcode進行免殺測試。首先解壓LiveUpdate.dat得到_TUProj.dat文件，然后修改其中的Lua代碼，將混淆后的shellcode轉換為數字存放在數組中，創建新線程運行。接著再將修改后的_TUProj.dat文件替換LiveUpdate.dat中的_TUProj.dat文件。最后再運行LiveUpdate.exe，實現加載LiveUpdate.dat，運行其中包含的Shellcode，如下圖所示：
測試國內主流殺毒軟件，靜態全部免殺，運行后上線成功，執行注入等高危操作也全部免殺，免殺效果較好，如下圖所示：
六、總結
基于LOLBins的攻擊方法近年來在APT攻擊中愈發常見，結合其他免殺技術，免殺效果極好，很難被檢測和查殺。殺毒軟件也應更新查殺手段，多角度對基于LOLBins的攻擊行為進行定向、深入查殺。
七、參考鏈接
https://www.anquanke.com/post/id/87299/
https://github.com/LOLBAS-Project/LOLBAS
https://www.cynet.com/attack-techniques-hands-on/what-are-lolbins-and-how-do-attackers-use-them-in-fileless-attacks/
LOLBins免殺技術研究及樣本分析
內部報告公開聲明：2021年10月14日，有境外消息聲稱：國內某銀行內部源代碼和數據泄露，并將相關代碼在網絡上售賣。安天應急響應中心（安天CERT）根據相關信息總體傾向評估：這是一個攻擊者攻擊軟件開發企業，竊取軟件產品源代碼及其產品用戶信息，并在該企業的產品用戶中選擇最具有影響力的機構，以該機構的信息泄露為噱頭，進行炒作，擴大影響，并販賣代碼牟利的事件。這是一起軟件開發廠商被入侵事件，并無證據證明其下游用戶遭到了入侵，但其潛在風險需要高度重視。此后阿里云安團隊在10月22日監測到npm官方倉庫ua-parser-js官方賬號疑似遭遇劫持。這些事件連同2020年末，SolarWinds 旗下的Orion基礎設施管理平臺的源碼遭到攻擊者篡改，導致數百家關鍵機構遭遇入侵，引發了對軟件供應鏈安全的高度關注。
此篇報告是由安天CERT在2017年9月編寫的《連鎖傳遞的威脅——從軟件供應鏈視角看網絡安全》，但由于我們擔心自身認知不足，所以并未公開本報告，而將其作為了儲備報告封存。基于供應鏈安全日趨重要，安天CERT決定，發布這份歷史儲備報告，本次發布中僅作了部分勘誤和少量修訂，并未補充2017年之后的新的供應鏈安全事件和新的觀點。同時由于我們自身的水平所限，特別是在2017年時，我們對供應鏈安全的研究還不夠深入，報告必然會存在大量錯漏和一些不完備之處。僅供讀者參考。
隨著網絡攻擊手段和渠道的多元化發展，供應鏈環節引發的威脅事件頻繁發生，未來供應鏈側攻擊可能成為信息基礎設施和政企機構網絡面臨的最嚴重的威脅之一。供應鏈攻擊的突防能力強、隱蔽性強、攻擊面廣泛、攻擊成本低、檢測相對困難，使其成為網絡攻擊更好的致效入口，因此越來越多的威脅行為體在供應鏈側的活動不斷增長，獲得攻擊優勢、構筑攻擊跳板、竊取技術成果等目的混合交織。安天多次在安全威脅年報中[1][2]對供應鏈安全問題給予密切關注，并始終提醒用戶“供應鏈從來就不只是網絡威脅對抗中的外圍陣地，而是更為核心和致命的主戰場”。
從“斯諾登事件”泄露的相關資料到“維基解密”曝光的系列文件，都曾涉及供應鏈相關環節的攻擊事件。一份斯諾登披露的文件可以證明，美國國家安全局（NSA）會使用物流鏈劫持的方式，攔截發送到目標地區的計算機和網絡設備，然后由“特定入侵行動辦公室”（TAO）的情報和技術人員完成設備或固件的篡改，并重新打包發送到目標地區，采用這種方法突破物理隔離防線。“維基解密”曝光的文件顯示，至少從2008年開始，美國中央情報局（CIA）就深入iPhone手機供應鏈，在渠道環節將惡意軟件安裝在出廠iPhone上。受感染手機即使重裝系統、刷機也無法卸載該軟件。更豐富的軟硬件接口為供應鏈攻擊帶來了機會窗口，例如惡意軟件可以感染MacBook Air的EFI固件，并長期駐留。
近幾年，供應鏈相關安全事件更是頻繁發生，造成了不可估量的影響。2017年9月，NetSarang公司開發的安全終端模擬軟件Xmanager、Xshell、Xftp、Xlpd等產品中包含的nssock2.dll模塊源碼被植入惡意后門。2015年9月XcodeGhost事件，攻擊者對Xcode進行篡改，插入惡意模塊，并進行各種傳播活動，共858個不同版本App受到感染。各種筆記本電腦、路由器、VPN等網絡設備及網絡安全設備中的廠商未屏蔽調試接口，導致其成為事實上的預留后門事件更是屢見不鮮。
供應鏈環節安全事件呈不斷上升的趨勢，以供應鏈為載體進行攻擊活動的攻擊組織也越來越多。方程式組織就可能通過物流鏈劫持的方式，替換外設、存儲產品為攻擊載體，或在固件中刷入惡意軟件。較為活躍的Magecart攻擊組織，其有專門的小組進行針對供應鏈的攻擊活動，曾針對供應鏈上游環節進行多起攻擊事件。按照這個趨勢，可能出現更多的攻擊組織專門針對供應鏈環節進行攻擊活動，也可能已經利用供應鏈成功攻擊并潛伏在網絡中。
供應鏈環節非常復雜、流程和鏈條很長，暴露給攻擊者的攻擊面越來越多，攻擊者利用供應鏈環節的薄弱點作為攻擊窗口，供應鏈的各個環節都有可能成為攻擊者的攻擊入口。既有傳統意義上供應商到消費者之間供應鏈條中信息流的問題，也有系統和業務漏洞、非后門植入、軟件預裝，甚至是更高級的供應鏈預制問題。本報告嘗試從安全威脅的視角，對供應鏈各個環節可能面臨的安全威脅進行歸納和梳理，細粒度地繪制了供應鏈安全環節簡圖，結合典型安全威脅事件，對供應鏈安全問題展開分析，并提供一系列供應鏈安全防護建議。
供應鏈包括的角色、環節眾多，結構復雜。攻擊者可能會利用供應鏈各個節點、環節的安全隱患，從上游、中間環節、地下供應鏈等方面，無孔不入的對目標進行信息采集、攻擊載荷預制等行為。對消費者而言，他們可能會受到來自供應鏈各個節點和流通過程中各個環節的安全威脅。因此，對供應鏈安全的關注應該包括形成供應鏈的所有角色和環節。
安天基于對供應鏈安全事件的持續追蹤理解和應用場景的實際情況，構建了“供應鏈安全環節簡易示意圖”，指出供應鏈中包括的主要環節和潛在的安全威脅。供應鏈是一個包含上下游角色和中間環節的階梯鏈結構，結構中的上、下游是相對的，根據場景的不同，當角色處于產品提供方時便位于上游，當角色處于產品使用方時便位于下游，一個場景中的下游角色可能是另一個場景中的上游，整個模型是一個不斷迭代的階梯鏈結構。從抽象出的簡圖中能夠看出，攻擊者一旦對供應鏈的任意環節進行攻擊，都會引起供應鏈的連鎖反應，危及關鍵信息基礎設施和重要信息系統的安全。
圖2-1 軟件供應鏈安全環節模型（最終用戶場景）
圖2-2 軟件供應鏈安全環節模型（軟硬件產品開發者場景）
2.1 軟件供應鏈上游安全隱患
在供應鏈的整個環節中，供應鏈開發環節的安全隱患涉及軟件開發實施的整個過程中面臨的脆弱性風險。軟件開發環節是一個復雜的過程，包括用戶需求分析、編程語言和知識庫準備、軟硬件開發環境部署、開發工具、第三方庫的采購、軟件開發測試、封包等多個環節。如此復雜的開發過程，本身就存在諸多的安全風險，其中任意環節都可能成為攻擊者的攻擊窗口，然而部分廠商還在不同的軟硬件產品中加入信息采集模塊、預制后門或在研發階段預留調試接口，給攻擊者留下更多可乘之機。一旦供應鏈開發環節存在安全風險，風險便會向供應鏈下層環節逐層傳遞，用戶會在毫無察覺的情況下遭受攻擊，最終將造成非常巨大的影響。
2.1.1 源碼、庫的篡改或污染
在軟件開發環節中，對于源代碼、庫的篡改或污染是很難發現的，這些披著“合法”外衣的惡意軟件能夠輕易規避終端防護軟件的檢測，使其能夠長期潛伏在目標系統中而不被發現。通過對源代碼層次的惡意植入的供應鏈安全事件的分析、研判發現，網絡管理工具是攻擊者的重要目標。
2017年9月14日，卡巴斯基安全實驗室發現NetSarang公司開發的安全終端模擬軟件Xmanager，Xshell，Xftp，Xlpd等產品中包含的nssock2.dll模塊源碼被植入惡意后門，且該模塊存在合法的數字簽名，目前多認為NetSarang被蓄意攻擊導致源碼被惡意篡改。研究人員發現nssock2.dll模塊官方源碼中被植入惡意后門代碼，后門會向nylalobghyhirgh.com發起請求并傳輸敏感數據（或上傳用戶服務器賬號和密碼信息）。
圖2-3 被植入惡意代碼的nssock2.dll模塊
無獨有偶，2017年9月18日，思科的研究人員發現系統維護軟件CCleaner被植入了惡意代碼，受影響的版本是32位的CCleaner 5.33。CCleaner是一款非常受歡迎的軟件，每周的下載量超過500萬，截至2016年11月，CCleaner聲稱全球擁有超過20億次下載量。因為被植入惡意代碼的程序具有合法的數字簽名，因此該事件也被認為是開發商被攻擊導致的源代碼遭篡改，而非信息流上的篡改或仿冒。
圖2-4 被植入惡意代碼的CCleaner具有合法的數字簽名
研究人員表示如果惡意代碼連接C2失敗，將會使用DGA生成域名并查詢DNS。思科在分析期間觀察到DGA域名尚未注冊，其研究人員將這些域名注冊并sinkhole，防止攻擊者進一步攻擊。被植入惡意代碼的CCleaner執行流程如下：
圖2-5 被植入惡意軟件的CCleaner執行流程[3]
上述安全事件為我們傳統的可信認證體系敲響了警鐘，一旦供應鏈上游被滲透，那么傳統的“可信”將變的不可信，來自官方的帶有數字簽名的文件也可能是遭到篡改的，具有數字簽名的文件也可能是被植入惡意代碼的。
2.1.2 技術標準污染
加密算法是現代網絡安全技術的基石之一，合理的使用加密算法可以保證網絡間通信的安全性。
然而一份斯諾登2013年曝光的資料顯示[4]，NSA和英國情報機構可破解包括VPN和HTTPS在內的絕大多數互聯網隱私保護和加密技術，這意味著大多數經過加密的個人和商業網絡通訊數據、在線交易信息，對NSA來說都唾手可得。
NSA主要通過這幾種方式達到其目的：
1. 干預信息安全國際標準的制定過程，削弱密碼系統，將NSA可破解的加密標準加入國際標準中；
2. 利用超級計算機（或新一代的量子計算機）對加密算法暴力破解；
3. 通過花費大量資金同技術公司或互聯網服務商合作，采用多種手段降低信息安全產品的安全強度。
早在2007年，兩位密碼學家（NielsFerguson和Dan Shumow）發布報告《On the Possibility of a Back Door in the NIST SP800-90 Dual Ec Prng》，提出2006年被納入SP800-90 標準的Dual_EC_DRBG算法可能潛伏著一個后門。如果以特定方式選擇定義算法的一個參數，算法產生的隨機數是可以被預測的。斯諾登事件后，紐約時報曝光，“斯諾登”泄露的內部備忘錄證實了NSA操縱和弱化了Dual_EC_DRBG算法。后來說明標準對包括Linux等多個系統安全性產生了影響。
密碼學家Mattew Green在《A Few Thoughts on Cryptographic Engineering（關于加密工程的一些總結）》[5]中對Bullrun和Cheesy Name相關項目內容做了如下的概括：“NSA每年花費2億5千萬美元，做了下面這樣的事情：篡改國家標準（NIST標準被特別提及）以削弱密碼系統；對標準委員會施加影響以弱化協議；同軟硬件開發商合作以削弱加密算法和隨機數生成算法的強度……”。
圖2-6 “斯諾登”泄露的Bullrun和Cheesy Name計劃
2.1.3 “預置“后門和默認缺陷
在供應鏈上游的被預置在內的安全隱患中，大致可以簡單概括為攻擊者預制、開發者預制、渠道預制三種，攻擊者預制是指攻擊者利用供應鏈環節的脆弱點植入惡意代碼、插入后門等；開發者預制包括廠商或內部開發者故意預留后門、開發人員為了方便測試或運維預留接口；渠道預置是運營商、分銷渠道、店面等向產品二次安裝軟件等。
2.1.3.1 路由等設備內置后門
不論是廠商為了商業或其他目的預制的后門，還是由于開發人員的疏忽無意引入的后門，都是嚴重的危害計算機系統的脆弱性風險。存在后門的節點，降低了入侵門檻，很容易被攻擊者遠程利用、攻擊和控制。
需要說明的是，被曝光的“后門”并不都是以惡意意圖來預設的，有一定比例的“后門”實際上是未有效屏蔽或管控的調試或運維接口。信息產品必須進行模塊調試和整體測試，也包括設計產品運維，因此必然會出現調試測試接口和運維接口。但如果這些接口在正式展品中沒有有效屏蔽或者管控，導致其能與暴露面直接連接或者能導致匿名或普通用戶提權，就起到了事實上的后門作用。
2014年CNCERT的一次集中通報中[6]，提及了Cisco、Linksys、Netgear、Tenda、D-link等主流網絡設備廠商上百個批次產品預置后門的情況。在該次通報中，受32764端口后門、遠程命令執行漏洞、提權后門等后門漏洞影響的產品占絕大多數。多數廠商都聲稱基于開發時的調試需要，留有一個管理員權限的后門方便開發人員調試。網絡設備的高危漏洞如果未即時修補，在使用場景中也會起到和后門等效的效果。下表為2013年以來被曝光的路由器后門事件。
表2-1 2013年~2017年間被曝光的路由器后門事件
2.1.3.2 IoT設備弱口令
近年來，智能設備的快速發展使得IoT設備市場迅速崛起。與傳統安全防護體系不同之處在于，新興設備和場景正處于自身安全系統不健全，安全防護與預警體系并未完全覆蓋的現狀，這就給攻擊者提供了可乘之機。或許由于設備安全防護機制不成熟，抑或是上游廠商和用戶在便捷與安全之間權衡的結果，大量的智能設備都在缺省弱口令未得到修改的狀態下工作，這無疑增強了智能設備被攻擊者輕易入侵的可能。美國當地時間2016年10月22日7點10分，發生了一起利用IoT設備發起DDoS攻擊的嚴重事件，致使大半個美國互聯網癱瘓。此次攻擊事件中，受到影響的服務主要有：DYN，Twitter，Etsy，Github，Soundcloud，Spotify，Heroku，PagerDuty，Shopify，Intercom，另外，受波及的站點還包括PayPal、BBC、華爾街日報、Xbox官網、CNN、HBO Now、星巴克、紐約時報、The Verge、金融時報等門戶網站。據統計，此次DDoS攻擊事件涉及IP數量達到千萬量級，其中大部分是物聯網智能設備。而正是由于Mirai惡意代碼利用默認密碼表取得IoT設備的控制權，才造就了如此數量規模的、有強大破壞力的僵尸網絡。該事件發生后，安天結合此前跟進IoT僵尸網絡跟蹤分析過程中，發現如下包括DVR、網絡攝像頭、智能路由器的品牌中有部分型號存在單一默認密碼問題。
圖2-7 存在默認密碼的設備品牌
2.1.3.3 軟件預裝和推廣已形成產業規模
目前，大部分品牌的手機都搭載安卓系統，各個手機廠商為了突出自己的產品特色，常常將安卓系統進行深度定制，于是就有了多樣化的安卓生態圈。部分廠商可能會在ROM中預裝一些特定的應用程序，而這就給惡意代碼進入用戶設備提供了一個新的機會。在已曝光的惡意代碼預裝事件中，影響較大的是2011年的Carrier IQ事件。Carrier IQ是一家為運營商和手機制造商提供設備分析方案的公司，Android開發者Trevor Eckhart發現Carrier IQ公司與移動運營商合作預裝入手機系統中的軟件存在嚴重的隱私搜集行為，Carrier IQ不但可以偷取地理位置資料，甚至連手機的按鍵鍵入簡訊內容和瀏覽的網站都可以看得一清二楚并回傳分析。運營商Verizon和Sprint在其多款手機中預裝了這一軟件，涉及Android、Symbian和BlackBerry三個平臺，相關報道稱受影響設備數量達1.41億。
Carrier IQ事件其實只是預裝“敏感”軟件的一個縮影，其他手機和PC都曾被指在出廠系統內安裝“敏感”或“惡意”軟件：2015年9月，安全公司G-Data 對外披露，國內多家手機品牌的智能手機中被預裝了惡意應用程序。當然，植入這些間諜軟件的很可能是第三方供應商或中間商（銷售商）而并非手機廠商。2015年，知名PC廠商被指在系統內預裝軟件，軟件會劫持合法連接，監控用戶活動，并向合法網頁注入用戶并未請求的廣告內容，并以彈出廣告的形式呈現給用戶。以上種種事件揭示了出廠或中間商環節的不可控，在利益的驅使下供應鏈的出廠或供應環節都是存在安全隱患的，當然這些點也是可以被攻擊者進行滲透和利用的。
2.2 軟件研發生產過程風險
軟件研發生產是一個相當開放化的環境，開發者為了提升工作效率會借助開源代碼，并沒有在設計之初就將安全考慮在內，但開源軟件可能本身存在安全缺陷，或者被惡意篡改，這都給軟件研發生產環境帶來了一定的安全風險，而軟件研發生產環境的污染對供應鏈安全的影響是非常大的。
2.2.1 開發工具污染
在供應鏈開發階段需要準備開發工具進行編程以實現各種功能模塊，作為開發過程中的一個關鍵環節，一旦編程人員使用了不安全的開發工具，那么經由此開發工具輸出的代碼都可能存在被篡改、惡意植入等風險，甚至可能導致整個編程環境出現重大的安全隱患。
針對開發工具的攻擊，影響最嚴重的莫過于2015年9月發生的XcodeGhost事件[7]。XcodeGhost事件是采用非官方供應鏈（工具鏈）污染的方式影響最終產品安全性的代表事件。Xcode 是由蘋果公司開發的運行在操作系統Mac OS X上的集成開發工具（IDE），是開發OS X 和 iOS 應用程序的最快捷的方式，其具有統一的用戶界面設計，同時編碼、測試、調試都在一個簡單的窗口內完成。2015年9月14日起，一例Xcode非官方供應鏈污染事件在國家互聯網應急中心發布預警后，被廣泛關注。攻擊者通過對Xcode進行篡改，加入惡意模塊，進行各種傳播活動，使大量開發者獲取到相關上述版本，建立開發環境，此時經過被污染過的Xcode版本編譯出的App程序，將被植入惡意邏輯，其中包括向攻擊者注冊的域名回傳若干信息，并可能導致彈窗攻擊和被遠程控制的風險。
截止到2015年9月20日，各方已經累計確認共692種（如按版本號計算為858個）App受到感染。同時有多個分析團隊發現著名的游戲開發工具Unity 3D、Cocos 2d-x也被同一作者進行了供應鏈污染，因此會影響更多的操作系統平臺。此次事件也可謂是移動安全史上最嚴重的惡意代碼感染事件之一。
圖2-8 Xcode非官方供應鏈污染事件示意圖
如果對這一事件進行定性，我們將其稱之為“地下供應鏈”（工具鏈）污染事件。在當前移動互聯網研發過度追求效率、安全意識低下的現狀下，連鎖式地形成了嚴重后果。同時值得深思的是，據2015年3月份斯諾登曝光的一份文檔顯示：美國情報機構曾考慮通過對Xcode(4.1)SDK進行污染，從而繞過蘋果App Store的安全審查機制，最終將帶毒App放到正規的蘋果應用商店里。可見無論是針對地下黑產，還是情報獲取，供應鏈和工具鏈都將是“必爭之地”。
從被現行發現的Xcode到之后被關注到的Unity 3D和Cocos 2d-x，以及我們預警的安卓開發平臺被污染的可能性，一系列非官方版本污染事件涉及到了上述每個問題的層面，其正是通過工具鏈污染繞過了多個開發廠商的自我安全審核與號稱非常嚴格的蘋果應用商店的上架審核（也許對蘋果來說，這個“多余”的模塊就像一個新增的廣告聯盟的插件）。而一批開發者不堅持原廠獲取開發工具，不審查工具的數字簽名，這些都暴露了App開發領域的野蠻生長，忽視安全的現狀。而這種被污染的App到達用戶終端后，并不需要依賴獲取更高權限，依然可以獲取大量有價值的信息，但一旦與漏洞利用結合，就有可能形成巨大的威力。而同時，其也采用了與互聯網客戶端類似的信息采集聚合方式，而數據的聚合點，則位于境外的云服務平臺上。從而使事件變成多邊、多角的復雜關系。
2.2.2 開源軟件本身安全缺陷
開源軟件在全球范圍內有廣泛的應用。為了降低軟件的開發成本和周期，從2012年起，已有超過80%的商業軟件是在開源軟件的基礎上二次開發而形成的。這種開發模式，大大減少了開發成本和周期，避免了“重復造輪子”的無謂消耗。同時也帶來了一個問題，開源軟件的代碼安全問題會傳遞到下游，必將造成廣泛、嚴重的影響。在國家互聯網應急中心對2015年一個季度的30款廣泛使用的知名開源軟件進行的安全測試中，在代碼層面共發現高危安全漏洞3511個，反映了開源軟件存在的安全問題十分嚴重。開源軟件一旦出現安全問題，極容易造成波及面廣、難以第一時間修復的問題。而在開源軟件二次開發過程中，更存在被別有用心的攻擊者直接植入惡意代碼的風險。
圖2-9 部分第三方開源項目漏洞分析圖（CNCERT）[8]
2017年1月31日，Softpedia網站發布了一篇名為《Cryptkeeper Linux Encryption App Fails at Job, Has One Letter Skeleton Key - "P"》的文章，其中提及，CryptKeeper應用在Debian 9中存在一個BUG，會使得用戶為加密文件夾設定的密碼被替換為單個字符“p”，從而使字符“p”作為解密由其加密的文件夾的通用密碼。
安天對所涉及模塊的源代碼進行了分析，確認了該問題的存在。問題的原因出在CryptKeeper調用的encfs代碼上，在encfs新舊版本中，對于同一個Config_Prompt模式，是否指定useStdin(-S)，行為是不一致的。在新版本中，如果指定了-S并且模式為Config_Prompt的話，會使用標準模式。
圖2-10 導致CryptKeeper出現該問題的encfs相關代碼
CryptKeeper根據舊版本encfs的設定，在代碼中硬編碼了"p\n"選項，來模擬鍵盤輸入，以選擇paranoia模式(具有更高的加密強度)。而本次事件中涉及的Debian 9，仍處于測試版(unstable)階段，使用了較新的encfs(1.9.1-3版)。新版本的encfs在-S參數的解析過程中不再讀取模式，而是使用預配置的標準模式，并直接從輸入中讀取密碼，因此，CryptKeeper中硬編碼的"p\n"值被encfs直接看作密碼，而實際應使用的密碼被拋棄。由于-S模式關閉了輸入回顯，這個BUG并不容易發現。在安天對這個漏洞討論中，也有工程師認為不能排除這一漏洞可能來自預制。
通過分析可以看出，這個自2007年起就一直以硬編碼形式存在于CryptKeeper源代碼中字符“p”，之所以在2016年成為可以破解加密數據的“通用密碼”，是因為其調用的encfs修改了一個參數(-S)的執行邏輯。這個案例再度說明了系統安全的復雜性——特別是系統安全和數據安全“連接部”的脆弱性。如果基于CryptKeeper代碼來做二次開發，則相關漏洞也會被傳遞。
2.2.3 豐富的外部信息獲取帶來風險隱患增加
軟件開發過程中，工程師需要持續的外部信息獲取，包括類似MSDN等技術資源庫、論文資料檢索、開源源碼庫、開發工具和其他的輔助小工具獲取等等，同時還希望保持開發社區的參與度。因此，從研發效率的需求，應為工程師提供便利的外網信息訪問條件；但從安全管控角度，這種便利的信息訪問，就使得水坑攻擊、釣魚攻擊的成功率大增。
2.2.4 源碼服務器和源碼管理
源碼服務器是軟件開發企業中相對獨有的一種IT資產，是軟件開發企業非常核心的無形資產的載體。但其往往可能沒有獲得有效的安全保障，導致可能會被入侵，竊取軟件代碼。
2.2.5 SOHO與便攜辦公
開發企業往往有更好的工作彈性，往往提供了較為靈活的工作方式，廣泛的應用VPN實現工程師的遠程接入，支持家庭辦公、或者遠程客戶側的研發和運營支持。
開發者在咖啡廳或其他公共場景中，基于公共Wi-Fi連接云上資源或內網，已經成為一個常見場景。顯然，這增加了便捷機本身被入侵、登錄憑證、郵件和其他信息被網絡側獲取的風險，增加了中間人攻擊的風險。
而在家庭環境中，處于方便性考慮，家用Wi-Fi等設備，往往類似密碼較為簡單，管理密碼和接入密碼沒有分開，較多的出現使用辦公機安裝個人和家庭使用的軟件，或者在家用機上接入辦公網絡等情況。
工程師在客戶側駐場開發和支持，也經常出現在客戶網絡中感染病毒，導致把病毒帶回到研發場景中。
2.2.6 協同開發與在線開發服務
一方面，自建研發環境、工作協同環境需要配套安全投入；此外一些中小規模的軟件研發企業，更多的把開發環境放在一些公有云平臺上，這也帶來了潛在風險。
而一些類似在線代碼安全測試，代碼混淆加密版權保護等機制，也會帶來潛在代碼泄露風險。
2.3 脆弱的鏈條——信息流、運輸流的安全隱患
信息流是指為了傳遞商品和服務信息，在供應鏈上、下游之間，各節點及節點間的信息活動。運輸流則主要指與硬件產品相關的運輸和流通環節。本節主要通過幾個典型事例，對軟件供應鏈中間環節面臨的威脅進行分析和說明。
2.3.1 監管審核漏網——官方應用市場出現惡意軟件
在傳統的PC軟件環境下，一部分產品和代碼通過提供者自己的渠道傳播，而更多的則是通過無序的離散的網絡分享形式傳播，這樣的體系造成盜版、安全等問題層出不窮。因此，手機行業兩大智能系統IOS和Android都建立了自己的應用監管、審核、分發渠道。然而，即使是蘋果和谷歌這樣的廠商，也難以完全地杜絕包含惡意代碼的應用在官方渠道出現。以蘋果為例，除Xcode事件外，AppStore在官方的管控之下依然出現了惡意代碼事件，可見該審核機制并不是銅墻鐵壁，攻擊者想要突破這層機制并不是沒有機會。
圖2-11 AppStore歷年惡意代碼事件
2.3.2 第三方站、分發站——非原廠分發沖擊安全供應鏈
大量的應用軟件和工具依然依賴于互聯網下載，而傳統下載站、漢化站、驅動站等，普遍采用下載欺騙等方式，讓用戶難以發現真正的下載入口，容易下載所謂的“下載推薦器”等廣告工具。同時，下載站對原有軟件往往進行了捆綁和重新簽名，在其中夾帶廣告工具、下載器甚至木馬。這些下載工具和所夾帶的廣告程序，普遍具有信息采集和二次下載功能，帶來了不受控的程序執行入口，其既可能導致用戶的隱私和信息泄露，也可能被高級攻擊者劫持和利用，進一步對用戶造成更大危害。
2.3.3 服務站安全隱患——信息和數據泄露的安全問題
對于廣大用戶來說，信息泄露是相對隱性卻相當嚴重的威脅。社交網絡、電子商務的日漸活躍和醫療保健、電信運營商、銀行等機構必要的信息采集，使得廣大民眾大量的隱私信息被托管在數據中心或是相關機構的服務器中，一旦服務器遭到攻擊，就會面臨數據泄露的風險。與此同時，部分機構的內部人員受經濟利益驅使，將手中掌握的信息出賣給黑色產業鏈的從業人員，牟取不正當的經濟利益。令人遺憾的是，大部分民眾對信息的隱私性沒有足夠的重視，在不經意間泄露了自己的信息。從總體來說，拖庫、終端木馬和APP的超量采集、流量側的信息劫持獲取，以及用戶自身安全意識薄弱，已成為信息泄露的主要原因。
從整體來看，數據泄露事件受害領域涵蓋了教育、航空、醫療、運營商、社交平臺、保險、旅游、金融以及招聘網站、視頻網站、購物網站等等。泄露賬戶數量從百萬至上千萬不等。個人郵箱、密碼、身份證等用戶信息仍是黑客竊取的重要目標。呈現了受害領域廣、受害數量大、泄露頻率高的特點。當信息被泄露之后，容易被惡意利用進行網絡詐騙、推銷、敲詐勒索，甚至被黑客在黑市大量出售，賺取不義之財，受影響用戶的相關賬戶也將容易受到二次被盜風險。
圖2-12 2016年發生的數據泄露事件
信息泄露的背后有一條完整的產業鏈。當個人信息被不法分子獲取，它們將沿黑色產業鏈被轉賣至詐騙團伙、黑客、保險、房產、理財等行業中介機構或營銷人員手中，用于詐騙、釣魚或定向營銷。
2.3.4 網絡傳輸——網絡通信劫持
在通信過程中，信息不一定按照用戶的意愿流動，可以被劫持和竊取。通信劫持是獲取信息和資源的重要手段，在信息和情報采集方面有廣泛使用。
基于網絡劫持的注入已經是美國情報機構進行網絡攻擊的重要入口，長期進行了工程體系建設、前置作業和攻擊裝備積累。
2014年3月，斯諾登曝光量子（Quantum）攻擊工具，資料顯示相關情報機構不僅能夠在運營商的網絡中持久化存在，還能夠通過劫持用戶的通訊獲取情報和資源，甚至重定向網絡連接或修改網絡流量數據。量子涵蓋了包括DNS和HTTP注入式攻擊等在內的一系列網絡攻擊工具，還擁有插入數據庫管理系統的插件等小工具，讓NSA能夠在神不知鬼不覺的情況下，干擾第三方數據庫的內容。泄露資料顯示，NSA將量子攻擊工具分為計算網絡利用/刺探（CNE）、計算機網絡進攻（CNA）、計算機網絡防御（CND）三類，相關劫持能力如：將訪問目標重定向到惡意鏈接或服務器、黑掉僵尸網絡的通信信道來控制僵尸網絡、在文件上傳和下載中破壞或注入惡意代碼等，具體工具如下圖所示。
圖2-13 NSA量子攻擊工具
2.3.5 物流鏈——物流運輸劫持
物流鏈由于其物理屬性較強，較長時間在網絡安全的視野之外。
2013年斯諾登泄露的資料顯示，美國情報機構NSA采用物流鏈劫持的方式進行木馬植入[9]。其工作流程是：攔截發送到目標地區的計算機和網絡設備的物流過程，然后由TAO（特定入侵行動辦公室）情報和技術人員完成固件植入程序，并重新包裝發送到目標機構。曾經有一則很滑稽的新聞報道了這樣一件事[10]：Cisco（思科）為避免NSA中間劫持發往敏感用戶的路由器，首先把發給這些用戶的路由器發到一個假地址，然后再進行二次配送。這從層面旁證：第一，NSA的確在做物流鏈劫持事情；第二，Cisco確實有一份敏感客戶的名單。
圖2-14 NSA劫持網絡設備注入木馬
除斯諾登泄露的NSA相關資料外，2016年維基解密曝光的大量CIA相關文檔資料也顯示了相關國家在物流層面進行的攻擊活動，其中一份被稱作Vault 7“暗物質”的文檔，揭示了CIA的數個網絡攻擊項目。其中一個被稱作“NightSkies 1.2”的項目，一款“Beacon/載入程序/植入工具”，自2008年以來CIA一直在利用這一工具，該工具的使用手冊中明確說明該工具是針對新出廠的設備。維基解密稱，“雖然有時CIA會派遣特工在設備中植入惡意代碼，但CIA也會通過對目標公司的供應鏈下手完成的，例如阻斷郵寄和其他發貨途徑(開箱、植入惡意代碼、重新發貨)。”
圖2-15 NightSkies使用手冊——針對出廠設備
2015年初卡巴斯基和安天先后披露一個活躍了近20年的攻擊組織——方程式組織（Equation Group），該組織不僅掌握大量的0day漏洞儲備，且擁有一套用于植入惡意代碼的網絡武器庫，其中最受關注、最具特色的攻擊武器是可以對數十種常見品牌硬盤實現固件植入的惡意模塊。依靠隱蔽而強大的持久化能力，方程式組織得以在十余年的時間里，隱秘地展開行動而不被發現。
2.4 軟件應用場景中的問題
軟件供應鏈下游是通過信息流、運輸流獲取到相應的產品、代碼、工具、服務等進行使用的角色。一般而言，軟件應用場景中面臨的安全問題主要出現在對上游提供產品、工具的驗證和使用過程中。
2.4.1 違規使用——盜版、Root的風險
2.4.1.1 盜版操作系統隱藏安全風險
微軟在2010年調研發現，全球將近70%的消費者認為使用盜版軟件不像使用正版軟件那樣安全。而針對Windows系統的另一調查發現[11]，超4成盜版操作系統含木馬病毒。微軟此前曾從收集了不同版本的盜版Windows 7光盤，其中6%的光盤無法安裝，24%包含了各種高危病毒木馬，54%安裝后會發現操作系統被不同程度地刪改。業內人士透露，有很多黑客組織在制作盜版Win7系統的同時，修改了很多代碼，使安裝了這個版本的用戶陷入“魔掌”。
2.4.2 反盜版、激活機制、在線運維——正版帶來的另類風險
軟件廠商為保護自身版權，往往設計了與主機信息采集相關的在線激活機制，也設置了一些盜版管控的驗證方式和處置接口。一些國外廠商，與國內代理公司和律所合作，將其采集信息認定的“盜版”用戶清單，提供給相關機構進行聯系，推進購買正版軟件。這種模式引發了一定詬病，被視為是一種 “訛詐”式營銷方式，。而從網絡安全的角度上看，這同樣構成了多重風險隱患，也包括此前“微軟黑屏”事件引發了巨大爭議。過度采集系統環境和信息帶來信息風險，如果軟件使用清單被泄露，就會導致對攻擊者的入口指向。而一些全球廣泛覆蓋的軟件產品，其硬件指紋采集的覆蓋能力，實際上構成了可以輔助國家級網絡攻擊的精確“制導”能力。
更為直接的風險是一些復雜的信息平臺或產品，往往有默認的面向廠商開放的遠程維護接口，在給客戶帶來便利和降低廠商運維成本的同時，也帶來了多種風險。
2.4.3 智能設備Root、越獄導致的安全隱患
隨著智能手機普及率越來越高，各式各樣的root、越獄軟件也層出不窮。以Android系統為例，root軟件大多利用Android操作系統中的一些漏洞，獲取root權限成為超級用戶。更有如“一鍵root”的產品，只需要將手機與電腦相連，并打開調試模式，再無需其余的操作，軟件將在幾分鐘內幫用戶獲取手機的root權限。這些軟件通常會介紹root之后可以刪除手機中本來的應用，添加一些自身想要的功能來誘導用戶進行root，相反它們通常不會強調root可能導致的嚴重后果會危及到設備的安全性。實際上，大部分的用戶是不需要刷root權限的。手機刷了root權限，就等于主動給部分應用程序敞開窺探隱私的大門。這些程序可以隨意的將用戶的短信、聯系人、通話記錄等信息上傳到他們自己的服務器上，而如果這些重要的信息落入黑產從業者手中，可能會給用戶帶來更多的困擾。
2.4.4 驗證突破——穿透應用程序數字簽名體系
代碼簽名體系一直作為保證軟件不可篡改和不可抵賴的核心機制，部分主流殺毒軟件在早期也多數選擇了默認信任有證書程序的策略。在“震網”等APT事件發生后，證書竊取問題開始被廣泛關注。2015年Duqu 2.0攻擊卡巴斯基實驗室的事件中，惡意代碼就使用了盜自富士康公司的數字證書[12]。
圖2-16 近年來于數字簽名和證書相關的網絡安全事件時間軸
但帶有“合法”簽名的惡意代碼，早已不再是APT攻擊的專利，從2016年惡意代碼數字簽名使用的統計情況看，接近五分之一的Windows PE惡意代碼帶有數字簽名，五分之一以上的帶有數字簽名的Windows PE惡意代碼可以通過驗證，且其中大量的簽發證書并不來自盜用，而來自正常流程的申請[13]。
更為危險的是，安卓系統始終堅持自簽發證書，始終未建立統一的證書認證管理機制。在安天移動安全團隊的監測中，已經發現了多起使用知名廠商證書簽名惡意代碼事件，不排除相關廠商的APP簽名證書已經失竊；而在開發者中，亦出現過開發者將私鑰證書同步到Github的事件。
在人們的印象中，證書的安全性更多在算法層面，例如被討論更多的是散列算法的安全性對證書的影響，但正如我們反復指出的那樣“如果沒有端點的系統安全作為保障，那么加密和認證都會成為偽安全。”證書的密碼協議設計固然重要，但其并不足以保證證書體系的安全，遺憾的是，以Windows PE格式為代表的現有代碼證書體系，是在端點竊密安全威脅還沒有成為主流的情況下建立的，在這個體系中，證書簽發環境的安全、證書統一管理和廢止機制、證書機構自身的系統安全都沒有得到足夠的重視。
而迄今為止，Linux系統未能建成普適性的簽名認證體系，毫無疑問，這為Linux下的安全防御帶來了進一步的困難。Windows平臺下的一些著名開源軟件，也依然在二進制版本的發布中沒有引入數字簽名機制。
簽名體系本身是不足以獨立在一個開放的場景中保證軟件供應鏈安全的，但不管如何，代碼簽名體系依然是軟件供應鏈安全體系的重要基石，其更重要的意義是實現發布者驗證和追溯機制。沒有代碼簽名體系的世界，注定是更壞的世界。
2.4.5 地下供應鏈和工具鏈、第三方來源市場削弱了機構客戶的防御能力
隨著品牌預裝、集中采購等因素，操作系統和辦公軟件的正版化獲得了一定的改進，但盜版操作系統的低安全性配置，包括預裝木馬和流氓軟件的問題，依然危害著機構客戶的安全。不同來源的第三方下載站點、云服務、共享資源、破解盜版軟件等未授權服務構成了地下供應鏈，給我國的信息系統安全帶來了嚴重的影響。用戶使用的部分應用工具依然依賴于互聯網下載，而傳統下載站、漢化站、驅動站等，普遍采用下載欺騙等方式，讓用戶難以發現真正的下載入口，下載的是所謂的“下載推薦器”等廣告工具，同時下載站對原有軟件驅動往往進行了捆綁而重新簽名，在其中夾帶廣告工具、下載器或其他的木馬。這些下載工具和所夾帶的廣告程序，普遍具有信息采集和二次下載功能，帶來了不受控的軟件安全入口。其既可能導致機構客戶的安全失竊，同時這些通道也可能被高級攻擊者劫持和利用。通過地下供應鏈獲取的軟件容易被攻擊者植入惡意代碼，導致敏感數據泄露引發重大安全威脅。值得注意的是，一些正規的下載站、應用市場也并非絕對安全，由于審核不規范也會被攻擊者利用，偽裝成正規軟件下發。
2.4.6 升級劫持
在軟件產品的整個生命周期中，需要對自身進行更新升級、漏洞修復等，攻擊者往往會通過劫持軟件更新的渠道進行攻擊，比如通過預先植入到用戶機器的病毒木馬重定向更新下載鏈接、軟件產品更新模塊在下載過程中被劫持替換。
2017年8月，安全團隊截獲惡性病毒“Kuzzle”，該病毒感染電腦后會劫持瀏覽器首頁牟利，同時接受病毒作者的遠程指令進行其他破壞活動。“Kuzzle”通過下載站的高速下載器推廣傳播，下載器會默認下載攜帶病毒的“云記事本”程序。電腦感染病毒后，瀏覽器首頁會被劫持，谷歌、火狐、360等多款主流瀏覽器都會被修改為hao123導航站。“Kuzzle”通過盜用知名安全廠商的產品數字簽名、利用安全軟件“白名單”的信任機制等多種手段躲避安全軟件的查殺。
2017年6月27日晚，Petya勒索病毒變種NotPetya在烏克蘭爆發，并蔓延到俄羅斯、印度、西班牙、法國、英國等多個國家。病毒攻擊的根源是劫持了烏克蘭專用會計軟件me-doc的升級程序，使用戶更新軟件時感染病毒。
但實際上，這些軟件的升級程序已被不法分子替換。當用戶升級某軟件客戶端時，下載地址被重定向至惡意軟件，惡意軟件在運行正常安裝包的同時靜默安裝其他推廣程序。
公網升級源并不是攻擊者攻擊的目標，企業級安全產品的管理中心、企業應用商店、企業網內的升級服務器對APT攻擊來說，是更關注的目標，由于其可以分發安裝包、升級文件和補丁，導致其可以構造內網的批量滲透。此前，我們發現過在某客戶場景中，殺毒軟件的內網升級服務器被攻陷，導致攻擊者批量滲透了內部節點。
3.1 對國家安全和國防安全影響
供應鏈攻擊是突破高等級防護目標的更為有效和致命的入口，特別如果再與線上、線下相結合；網空與電磁攻擊方式相結合，就構成了致命的打擊能力，對總體國家安全的各個方面都可能造成致命的影響。
前美國陸軍參謀長高級顧問Maren Leed指出，網絡武器具有無與倫比的多功能性，它們可用于從參與到高端作戰的所有軍事行動。因為它們的影響是可逆的，它們可以在多個時間點發起攻擊。而且列舉的攻擊時間點就明確包括了入侵開發場景。面對外方的攻擊作業想定，我國自主研發企業必須做好準備。
3.2 知識產權損失和企業競爭力削弱
因供應鏈上游安全隱患、信息流和運輸流的安全隱患、下游安全隱患而導致源碼、文檔、工藝、配方、流程等用戶知識產權遭到泄露、竊取等，直接導致受害者在研項目停滯、知識產權保護期內技術及產品被惡意利用或仿冒，進而引發受害者領域內競爭力、經濟狀況、商業伙伴關系等一系列相關范疇的負面影響。
3.3 預制跳板攻擊下游用戶
從軟件生產上游、軟件研發生產環境，到信息流、運輸流，再到用戶的軟件用于場景，軟件供應鏈的各個環節都可能成為攻擊者的攻擊窗口，無孔不入的對目標系統進行信息采集、攻擊載荷預制等網絡攻擊行為。攻擊者通過惡意載荷在目標系統進行持久化駐留，并將目標系統作為跳板，通過這些跳板滲透到其他高價值系統中。在“震網”安全事件中，在攻擊伊朗鈾離心設施之前，攻擊方已經入侵滲透了伊朗的多家主要國防工業和基礎工業廠商，特別是離心機主要生產廠家Kala Electric，針對設備生產商、供應商、軟件開發商等工業基礎設施進行全面入侵滲透和載荷預制，并將其作為跳板，最終滲透到伊朗鈾離心機，阻斷了伊朗核武器進程。
3.4 提升攻擊者脆弱性分析和漏洞挖掘的效能，攻擊下游用戶
隨著對軟件功能和需求的不斷擴展，軟件的復雜程度不斷提高，安全漏洞的產生自然也是無法避免的。但攻擊者面對攻擊目標時，如果以有限的暴露面為入口，尋找漏洞和攻擊點就需要一定成本和代價。而在攻擊者竊取了軟件開發文檔和代碼后，就使攻擊者在面對軟件用戶時，充分掌控了信息不對稱性優勢。特別是攻擊者的漏洞發現過程不再是基于有限的暴露面嘗試，或者二進制層面的逆向，而是可以直接在源碼中尋找漏洞和缺陷，通過更多的自動化工具進行fuzzing和挖掘；其對分析，直接基于源碼來完成，包括可以引入代碼安全分析工具，從而快速找到可利用的暴露面、弱點和漏洞，從而大大提升攻擊效果。
另一種情況是，攻擊者獲取代碼和文檔后，就能更快的分析開源和第三方組件應用情況，從而由已知的開源代碼和組件漏洞中快速找到攻擊點。
3.5 攻擊目標選擇的新模式
供應鏈攻擊往往被視為，為了攻擊最終目標場景的前導環節。但以開發機構為目標的攻擊廣泛出現后，就會使攻擊者反其道而行之，批量的尋找其中的價值目標節點進行攻擊。
3.6 導致雪崩效應
軟件供應鏈環節非常復雜，暴露給攻擊者的攻擊面也非常多，軟件供應鏈的各個環節都可能成為攻擊者的攻擊窗口，這其中的任意環節被攻擊者利用，都可能引發雪崩效應，造成不可估量的影響。Xshell 系列軟件源碼遭到篡改的事件中，十萬級別用戶受到影響。CCleaner 后門事件中，下載受感染版本用戶高達272萬。NotPetya通過烏克蘭流行會計軟件（M.E.Doc）更新程序，短時間內襲擊了烏克蘭、俄羅斯、印度、西班牙、法國、英國以及歐洲多個國家。一旦供應鏈環節遭到利用，由此引發的雪崩效應將會給關鍵信息基礎設施和重要信息系統造成不可估量的影響。
總之，面對高級網空威脅行為體的體系化作業和黑產體系的多環節打擊，供應鏈攻擊帶來的攻擊影響將是復雜的，其絕不簡單影響到產品廠商和直接用戶，在國家競爭、商業競爭、公民個人安全等方面都會形成連鎖影響，而且重大攻擊事件的影響和后果往往需要很長時間也無法有效止損和消除。
軟件供應鏈的網絡安全問題涉及的角色、環節眾多。一方面，高度的復雜性使得其整體脈絡難以清晰可見；另一方面，整個鏈條任意環節的安全問題一旦被觸發都可能造成嚴重后果。因此，軟件供應鏈的風險管理是一項系統性、綜合性的工作，在這方面，西方發達國家處于較為先進的水平。這些的實踐雖然并不都適合于我國，但也有很強的借鑒和參考價值。
2001年，美國國家安全電信和信息系統安全委員會宣布，自2002年7月起，在國家安全系統中強制使用經過美國NIAP（國家信息保障聯盟）認證的IT產品。2008年1月，時任美國總統布什發布了第54號國家安全總統令（NSPD54）/第23號國土安全總統令（HSPD23），其核心是國家網絡安全綜合計劃（CNCI，Comprehensive National Cybersecurity Initiative），提出要為全球供應鏈風險管理發展一種多管齊下的方法。其中的一項重要措施就是要與工業界合作制定和采用供應鏈與風險管理標準及最佳實踐措施。美國國家標準與技術研究院NIST于2015年10月召開了“網絡供應鏈風險管理最佳實踐”研討會，分享了一些網絡供應鏈風險管理使用的工具、標準、流程和在多個行業的最佳實踐等案例，包括波音、思科、富士通、杜邦、寶潔、英特爾、火眼等各行業頂級公司。
在相關標準方面，2013年8月，NIST發布了SP 800-161《聯邦信息系統和組織的供應鏈風險管理實踐指導草案》。該標準就識別、評估和減輕各種程度的ICT供應鏈風險問題為聯邦部門和機構提供了指導。相關標準還包括SP 800-39《管理信息安全風險》，SP 800-53《對聯邦信息系統和組織的安全控制建議》等。
美國還積極參與了第一部針對IT供應鏈安全的國際標準ISO/IEC 27036-3-2013的制定，該標準提供了IT軟件、硬件和服務的供應鏈安全指南，將信息安全過程和實踐整合到系統和軟件的生命周期過程中，并且專門考慮了與組織及其技術方面相關的供應鏈安全風險。
國內，供應鏈網絡安全相關理論研究與實踐探索起步較晚，缺乏相關的標準、規范、政策、法律法規，但安全廠商、設備供應商，研究人員也在不斷的努力控制供應鏈安全風險。
在理論研究方面，吳世忠等人編著了《信息通信技術供應鏈安全》，探討了信息通信技術供應鏈相關概念及其面臨的安全威脅，詳細討論了硬件供應鏈與軟件供應鏈的安全風險與應對，分析了我國當前面臨的信息通信技術供應鏈的安全風險，提出了相關安全對策和建議。
軟件供應鏈的風險管理，需要相關各方的共同參與和努力。具體來說，需要建立清晰的架構和標準體系，以推動各環節增加有效安全考量；對供應商加強安全生產和開發要求，推動軟件供應鏈透明化；對軟件供應鏈環節進行有效標注，厘清技術來源，定位和說明關聯風險，掌握開源利用和第三方模塊的風險流動；各方加強與安全廠商的合作，提高系統的整體安全性、增強威脅情報和態勢感知能力；軟件供應鏈安全防御的部署不僅位于當前環節，而且要延展至前驅與后續環節，使安全能力得到最大程度的覆蓋。
通過對供應鏈相關安全事件的持續追蹤能夠看出，供應鏈已經成為突破現有網絡安全防御的一種有效攻擊手段，嚴重威脅到關鍵信息基礎設施以及重要信息系統的安全。供應鏈環節給網絡安全防護帶來了更高的要求，相關環節應該協同解決供應鏈安全防護問題。在供應鏈環節的安全防護上，供應鏈上游、信息流、運輸流以及供應鏈下游肩負著不同的責任，任何一個社會的治理體系和公共安全的治理體系很難完全獨立的承擔基礎供應鏈安全的所有工作。具體來說，如果上游廠商不能引入相應的代碼審查機制，那么對于用戶場景來說，很難建立更加完善的體系去驗證軟件是否存在嚴重安全問題以及是否遭受了篡改，因此，供應鏈安全是一個綜合協同治理的過程。對于關鍵信息基礎設施和重要信息系統的安全防護應該從國家、軟件開發集成商、安全廠商、最終用戶等角度展開。
國家主管部門層面，建議不斷加強供應鏈安全相關政策制度、法律法規、標準規范的編撰，積極組織供應鏈安全的理論與實踐探索，完善供應鏈安全體系建設；監管部門需要加強對供應鏈安全環節的監督管理，協同構建良好的供應鏈安全生態；在安全人才培養方面，強化全生命周期的代碼安全工程能力，引導供應鏈層面的更進深入的安全資源投入。
軟件開發企業和機構、也包括自研層面，需要全面提升研發場景的網絡安全規劃水平，加大安全防護投入。對第三方供應商進行有效管理，最大限度的縮小暴露的攻擊面；企業應建立安全的上游供應鏈，積極改善IT治理和縱深防御，提升開發環境安全；開發人員全面提升代碼安全工程能力，嚴格遵守開發規范，對調試、運營接口進行有效的約束和管理；定期或及時開展教育和培訓課程，提升安全意識；軟件發布前應該經過嚴格審計，軟件規劃開發的各個階段需要進行嚴格的安全規劃審查、代碼安全審計，降低安全風險；軟件產品的分發過程要進行嚴格的控制，企業可以通過安全的門戶網站建立統一的應用商店。構建應急響應機制，建立產品安全應急響應組織，完善快速補丁和升級機制，及時對威脅事件進行安全響應。
網絡安全廠商層面，需要首先做好自身的網絡安全防護工作，強化自身產品的安全工作，讓安全產品自身更安全。同時提升面向供應鏈場景的威脅感知和響應能力，增強向研發場景的安全賦能能力。
從政企用戶場景看，面對日趨嚴峻的供應鏈安全問題，一方面，要完善響應排查機制；另一方面，不應該都寄托于亡羊補牢，而是應該圍繞有效防護展開。具體來說，在基礎結構安全方面，需要設計合理的網絡安全結構，增強網絡的可管理性。可管理網絡能夠增強網絡的可防御性，收縮攻擊面，提升對手獲得控制權的難度和成本。在積極防御方面，供應鏈攻擊的有效防護應該從終端側、產品側的安全告警等被動響應模式，轉變為主動發現潛在網絡威脅的級別，縮短威脅暴露的窗口期。同時，持續跟進供應鏈安全情報，隨時發現關聯風險。
個體用戶層面，用戶應該選擇正版或官方軟件資源下載渠道，并對可疑郵件、鏈接等時刻保持警惕；使用正版的操作系統，定期進行系統安全修復；從官方渠道進行軟件升級和卸載，避免被攻擊者利用；安裝終端防護軟件（如安天智甲），定期對終端系統進行全面的掃描、系統查殺，最大限度地保證終端系統安全。
隨著信息技術的飛速發展，供應鏈環節變得越來越復雜，暴露給攻擊者的可攻擊面也越來越多。攻擊者利用軟件供應鏈環節的薄弱點作為攻擊窗口，從軟件的開發，到軟件的分發，再到用戶的使用環節都可能被攻擊者利用，軟件供應鏈的各個環節都可能成為攻擊者的攻擊窗口。供應鏈安全當前的兩個關鍵戰場：一個是有效應對上游安全隱患或遭到攻擊，轉化為下游政企機構安全風險；一個是移動互聯網生態的復雜博弈競合。
在移動互聯網生態場景中，APP軟件供應鏈環節安全威脅呈上升趨勢。雖然，手機木馬蠕蟲等傳統惡意軟件，在安天等廠商的原廠安全賦能后，快速增長的趨勢得到遏制。但高級攻擊者和灰色產業體系對移動供應鏈的滲透甚至直接參與，卻將成為更大的挑戰。在第三方漏洞、惡意SDK、分發污染、應用更新等供應鏈環節均出現了不同的安全挑戰。
而隨著互聯網+和智能化的浪潮，IoT設備的廣泛應用，政企應用的互聯網化，企業的防護正面不斷增大，增加了企業的防護成本，提升了內部安全防護的難度。與傳統的邊界防護相比，新興設備的接入使得原有的防護邊界有所擴散，并形成一個非受控的信息通道。供應鏈的整個鏈條任意環節的安全問題一旦被觸發，都可能造成嚴重影響。
在過去的種種案例總結中，供應鏈攻擊多被作為一種“曲線”進入核心IT場景的外圍攻擊手段，這是頻繁發生的事情，但如果這是我們理解這一問題的唯一方式，就是把戰略問題戰術化了。我們有理由確信：未來的網絡安全的對抗，是全場景和全生命周期的，攻擊者會基于大數據更容易找到目標和入口，會更多地把供應鏈作為攻擊的起點，因此我們還是要重復我們已經重復多次的觀點：
“供應鏈從來就不只是網絡威脅對抗中的外圍陣地，而是更為核心和致命的主戰場。”
[1] 安天：2015年網絡安全威脅的回顧與展望
http://www.antiy.com/response/2015_Antiy_Annual_Security_Report.html
[2] 安天：2016年網絡安全威脅的回顧與展望
http://www.antiy.com/response/2016_Antiy_Annual_Security_Report.html
[3] 思科：CCleanup: A Vast Number of Machines at Risk
http://blog.talosintelligence.com/2017/09/avast-distributes-malware.html?m=1
[4] 斯諾登向英國衛報曝光 NSA和英國情報機構可破解大部分加密通訊
https://www.theguardian.com/world/2013/sep/05/nsa-gchq-encryption-codes-security
[5] Mattew Green: A Few Thoughts on Cryptographic Engineering
https://blog.cryptographyengineering.com/
[6] CNCERT 路由器后門通報
http://www.cert.org.cn/publish/main/9/2014/20140210091555248367162/20140210091555248367162_.html
[7] 安天：Xcode 非官方版本惡意代碼污染事件（XcodeGhost） 的分析與綜述
http://www.antiy.com/response/xcode/xcodeghost.pdf
[8] CNCERT對開源軟件的漏洞統計
http://lab.cert.org.cn/download/2015%E5%B9%B4%E5%BC%80%E6%BA%90%E9%A1%B9%E7%9B%AE%E7%AC%AC%E4%BA%8C%E5%AD%A3%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90%E6%8A%A5%E5%91%8A.pdf
[9] Photos of an NSA “upgrade” factory show Cisco router getting implant
https://arstechnica.com/tech-policy/2014/05/photos-of-an-nsa-upgrade-factory-show-cisco-router-getting-implant/
[10] Cisco posts kit to empty houses to dodge NSA chop shops
https://www.theregister.com/2015/03/18/want_to_dodge_nsa_supply_chain_taps_ask_cisco_for_a_dead_drop/
[11] 微軟2010年對windows系統展開調查
http://tech.sina.com.cn/it/2010-11-17/15454876350.shtml
[12] 卡巴斯基:Duqu2.0 盜用富士康證書簽名
https://securelist.com/blog/research/70641/the-duqu-2-0-persistence-module/
[13] 李柏松. 由Windows的安全實踐看可信計算的價值和局限[J]. 信息安全與通信保密, 2014(9):100-107