T1195.001: 破坏软件依赖项和开发工具

摘要

攻击者可能在最终消费者收到软件依赖项和开发工具之前对其进行操纵，以达到破坏数据或系统的目的。应用程序通常依赖外部软件才能正常运行。被用作许多应用程序依赖项的流行开源项目，例如 pip 和 NPM 包，可能成为目标，作为向依赖项用户添加恶意代码的手段。(Citation: Trendmicro NPM Compromise)(Citation: Bitdefender NPM Repositories Compromised 2021)(Citation: MANDVI Malicious npm and PyPI Packages Disguised) 这也可能包括被废弃的包，在某些情况下，这些包在被移除后可能被威胁行为者重新注册。(Citation: The Hacker News PyPi Revival Hijack 2024) 攻击者还可能通过选择与现有流行库或包相似的名称来使用“域名抢注”或名称混淆，以欺骗用户。(Citation: Ahmed Backdoors in Python and NPM Packages)(Citation: Meyer PyPI Supply Chain Attack Uncovered)(Citation: Checkmarx-oss-seo) 此外，CI/CD 流水线组件（如 GitHub Actions）可能成为目标，以获得对应用程序构建、测试和部署周期的访问权限。(Citation: Unit 42 Palo Alto GitHub Actions Supply Chain Attack 2025) 通过向 GitHub action 添加恶意代码，威胁行为者可能能够收集运行时凭据（例如，通过 [Proc 文件系统](https://attack.mitre.org/techniques/T1003/007)）或向构建流水线中插入更多恶意组件，以进行二阶供应链入侵。(Citation: OWASP CICD-SEC-4) 由于 GitHub Actions 通常依赖其他 GitHub Actions，威胁行为者可能通过入侵单个 Action 来感染大量仓库。(Citation: Palo Alto Networks GitHub Actions Worm 2023) 目标定位可能特定于期望的受害者集合，也可能分发到广泛的消费者，但只对特定受害者继续执行其他战术。