T1195: 供应链入侵

摘要

攻击者可能在最终消费者收到产品或产品交付机制之前对其进行操纵，以达到破坏数据或系统的目的。 供应链入侵可以发生在供应链的任何阶段，包括： * 操纵开发工具 * 操纵开发环境 * 操纵源代码仓库（公共或私有） * 操纵开源依赖项中的源代码 * 操纵软件更新/分发机制 * 被入侵/感染的系统镜像（在工厂被感染的移动介质）(Citation: IBM Storwize)(Citation: Schneider Electric USB Malware) * 用修改版本替换合法软件 * 向合法经销商销售修改/假冒产品 * 运输途中拦截 尽管供应链入侵可以影响硬件或软件的任何组件，但寻求获得执行的攻击者往往专注于软件分发或更新渠道中对合法软件的恶意添加。(Citation: Avast CCleaner3 2018)(Citation: Microsoft Dofoil 2018)(Citation: Command Five SK 2011) 攻击者可能将目标限制在期望的受害者集合，或向广泛的消费者分发恶意软件，但只对特定受害者进行后续操作。(Citation: Symantec Elderwood Sept 2012)(Citation: Avast CCleaner3 2018)(Citation: Command Five SK 2011) 被用作许多应用程序依赖项的流行开源项目也可能成为目标，作为向依赖项用户添加恶意代码的手段。(Citation: Trendmicro NPM Compromise) 在某些情况下，攻击者可能通过利用从初始供应链入侵获得的访问权限来进一步入侵某个软件组件，从而进行“二阶”供应链入侵。(Citation: Krebs 3cx overview 2023) 这可能使威胁行为者扩散到更多受害者。