цепочка поставок

Checkmarx раскрывает масштабную атаку на цепочку поставок через популярный NPM-пакет. Команда специалистов компании Checkmarx обнаружила атаку на цепочку поставок, которая продолжалась более года. Вредоносный npm -пакет @0xengine/xmlrpc, начавший своё существование в октябре 2023...

Вредоносные 3MF-модели могут долгое время оставаться незамеченными. Исследователи безопасности обнаружили уязвимость в популярном ПО для 3D-печати UltiMaker Cura. Проблема была выявлена специалистами компании Checkmarx , которые провели анализ исходного кода во время тестирования...

Подмена системных команд открывает новые возможности для киберпреступников. Исследователи из компании Checkmarx зафиксировали новую технику атак на цепочки поставок в Open Source экосистемах, позволяющую злоумышленникам использовать манипуляции в командной строке ( CLI ) для скрытого...

Исследователи раскрыли неожиданный механизм распространения вредоносного кода. Специалисты из компании Tenable выявили серьёзную уязвимость в Google Cloud Platform ( GCP ) Composer, которая могла использоваться для удалённого выполнения кода в реальных атаках. GCP Composer — это...

Исследователи раскрыли неожиданный механизм распространения вредоносного кода. Специалисты из компании Tenable выявили серьёзную уязвимость в Google Cloud Platform ( GCP ) Composer, которая могла использоваться для удалённого выполнения кода в реальных атаках. GCP Composer — это...

На платформе npm выявлены библиотеки-оборотни со скрытым функционалом. Исследователи в области кибербезопасности выявили два вредоносных пакета на платформе npm , содержащих бэкдор-код для выполнения команд с удалённого сервера. Подозрительные пакеты, под именами...

ReversingLabs выявила 60 вредоносных пакетов с изощренной маскировкой. В рамках продолжающейся вредоносной кампании, начавшейся в августе 2023 года, злоумышленники публикуют новые вредоносные пакеты в менеджере пакетов NuGet , добавляя новый уровень скрытности для обхода обнаружения...

Удалось ли киберпреступникам осуществить задуманное? Недавно специалисты в области кибербезопасности успешно предотвратили попытку взлома проекта на платформе OpenJS, которая в общих чертах очень напоминает недавний инцидент с бэкдором в утилите сжатия XZ Utils. В понедельник, 15 апреля...

Рейтинг показывает, на что нужно обратить внимание при планировании киберзащиты. Европейское агентство по кибербезопасности ( ENISA ) обновило прогноз по киберугрозам, выделив 10 основных угроз, которые будут оказывать наибольшее влияние к 2030 году. Компрометация цепочки поставок ПО...

Ваши сотрудники используют приложения, о которых вы не знаете. Вы уверены, что они безопасны? ИБ-компания Wing Security провела анализ использования SaaS -приложений в 493 компаниях и выявила основные угрозы и способы их предотвращения, предложив рекомендации для безопасного использования...

Эпидемия вредоносных пакетов ставит под вопрос безопасность цепочки поставок. В рамках недавнего исследования специалистов безопасности из ReversingLabs в репозитории Python Package Index ( PyPI ) были обнаружены два вредоносных пакета, которые использовали технику DLL Sideloading для...

VulnCheck предупреждает о беспрецедентной уязвимости цепочек поставок программного обеспечения. Новое исследование компании VulnCheck , специализирующейся на проверке уязвимостей веб-приложений, показало , что более 15 тысяч репозиториев модулей Go на GitHub уязвимы для атаки методом...

Битва за лидерство в мировой торговле между двумя ведущими державами обостряется. США и Китай на прошлой неделе очередной раз проявили острое соперничество за лидерство в формировании правил мировой торговли и развитии глобальных цепочек поставок. С 28 ноября по 2 декабря в Пекине...

Прокет OpenSSF будет отслеживать вредоносные пакеты разработки. В ответ на рост числа вредоносных пакетов с открытым исходным кодом Open Source Security Foundation (OpenSSF) запустил инициативу под названием Malicious Packages Repository. С момента своего запуска репозиторий уже накопил...

Исследователи Trend Micro подробно рассказали о методах компрометации доверенных репозиториев. Одной из наиболее тревожных тенденций последних лет стал рост атак на программные цепочки поставок, особенно тех, которые затрагивают репозитории кода. По данным отчёта Европейского агентства...

Присоединяйтесь к вебинару Positive Technologies 5 октября в 14:00. Сегодня в тренде атаки типа supply chain и trusted relationship, которые сложно расследовать специалистам по ИБ. Исследование Positive Technologies показало, что в первом полугодии 2023 года их доля составила 20%. Такие...

Обновите свои установки как можно скорее, чтобы избежать атак на цепочку поставок. GitLab выпустил обновления безопасности для устранения критической уязвимости, позволяющей злоумышленникам запускать пайплайны от имени других пользователей через запланированные политики безопасности...

Распространение угрозы приостановлено, но компьютеры разработчиков уже скомпрометированы. Разработчики программного обеспечения в очередной раз стали мишенью в атаках на цепочку поставок. В реестре библиотек Crates.io для языка программирования Rust недавно был обнаружен ряд вредоносных...

Представлен новый пакет экспертизы для MaxPatrol SIEM. erid:Kra241v63 MaxPatrol SIEM получил новый пакет экспертизы для защиты компаний от атак на цепочки поставок. Такие атаки целятся на разработчиков и поставщиков программного обеспечения, через продукты которых хакеры проникают в...

Евросоюз хочет снизить зависимость от других стран из-за опасений за кражу интеллектуальной собственности. Европейская комиссия рассматривает возможность ограничить передачу чувствительных технологий из стран-членов ЕС и европейских компаний в Китай и Россию. Среди технологий, которые...

Как выявить опасную угрозу и полностью очистить от неё свой компьютер? Новое вредоносное ПО «Fractureiser», способное похищать информацию с компьютеров игроков в Minecraft , активно распространяется через пользовательские модификации на платформах Bukkit и CurseForge . Хакеры взломали...

Google запустил бета-версию единого центра знаний о взаимодействиях ПО. Google анонсировал бета-версию GUAC 0.1 Beta (Graph for Understanding Artifact Composition), которая предназначена для защиты цепочки поставок ПО. Google предоставил разработчикам платформу с открытым исходным кодом в...

В США создана оперативная группа, которая с помощью ИИ будет обеспечивать защиту страны по всем фронтам. Министерство внутренней безопасности США (DHS) объявило о создании первой Оперативной группы по искусственному интеллекту, которая призвана защитить страну от киберугроз, вызванных...