连锁传递的威胁——从软件供应链视角看网络安全[内部报告公开]
内部报告公开声明：2021年10月14日，有境外消息声称：国内某银行内部源代码和数据泄露，并将相关代码在网络上售卖。安天应急处理中心（安天CERT）根据相关信息总体倾向评估：这是一个攻击者攻击软件开发企业，窃取软件产品源代码及其产品用户信息，并在该企业的产品用户中选择最具有影响力的机构，以该机构的信息泄露为噱头，进行炒作，扩大影响，并贩卖代码牟利的事件。这是一起软件开发厂商被入侵事件，并无证据证明其下游用户遭到了入侵，但其潜在风险需要高度重视。此后阿里云安团队在10月22日监测到npm官方仓库ua-parser-js官方账号疑似遭遇劫持。这些事件连同2020年末，SolarWinds 旗下的Orion基础设施管理平台的源码遭到攻击者篡改，导致数百家关键机构遭遇入侵，引发了对软件供应链安全的高度关注。
本篇文章19240字，预计48分钟读完。
随着网络攻击手段和渠道的多元化发展，供应链环节引发的威胁事件频繁发生，未来供应链侧攻击可能成为信息基础设施和政企机构网络面临的最严重的威胁之一。供应链攻击的突防能力强、隐蔽性强、攻击面广泛、攻击成本低、检测相对困难，使其成为网络攻击更好的致效入口，因此越来越多的威胁行为体在供应链侧的活动不断增长，获得攻击优势、构筑攻击跳板、窃取技术成果等目的混合交织。安天多次在安全威胁年报中[1][2]对供应链安全问题给予密切关注，并始终提醒用户“供应链从来就不只是网络威胁对抗中的外围阵地，而是更为核心和致命的主战场”。
供应链包括的角色、环节众多，结构复杂。攻击者可能会利用供应链各个节点、环节的安全隐患，从上游、中间环节、地下供应链等方面，无孔不入的对目标进行信息采集、攻击载荷预制等行为。对消费者而言，他们可能会受到来自供应链各个节点和流通过程中各个环节的安全威胁。因此，对供应链安全的关注应该包括形成供应链的所有角色和环节。
图2‑2 软件供应链安全环节模型（软硬件产品开发者场景）
2.1 软件供应链上游安全隐患
在供应链的整个环节中，供应链开发环节的安全隐患涉及软件开发实施的整个过程中面临的脆弱性风险。软件开发环节是一个复杂的过程，包括用户需求分析、编程语言和知识库准备、软硬件开发环境部署、开发工具、第三方库的采购、软件开发测试、封包等多个环节。如此复杂的开发过程，本身就存在诸多的安全风险，其中任意环节都可能成为攻击者的攻击窗口，然而部分厂商还在不同的软硬件产品中加入信息采集模块、预制后门或在研发阶段预留调试接口，给攻击者留下更多可乘之机。一旦供应链开发环节存在安全风险，风险便会向供应链下层环节逐层传递，用户会在毫无察觉的情况下遭受攻击，最终将造成非常巨大的影响。
2.1.1 源码、库的篡改或污染
在软件开发环节中，对于源代码、库的篡改或污染是很难发现的，这些披着“合法”外衣的恶意软件能够轻易规避终端防护软件的检测，使其能够长期潜伏在目标系统中而不被发现。通过对源代码层次的恶意植入的供应链安全事件的分析、研判发现，网络管理工具是攻击者的重要目标。
2017年9月14日，卡巴斯基安全实验室发现NetSarang公司开发的安全终端模拟软件Xmanager，Xshell，Xftp，Xlpd等产品中包含的nssock2.dll模块源码被植入恶意后门，且该模块存在合法的数字签名，目前多认为NetSarang被蓄意攻击导致源码被恶意篡改。研究人员发现nssock2.dll模块官方源码中被植入恶意后门代码，后门会向nylalobghyhirgh.com发起请求并传输敏感数据（或上传用户服务器账号和密码信息）。
无独有偶，2017年9月18日，思科的研究人员发现系统维护软件CCleaner被植入了恶意代码，受影响的版本是32位的CCleaner5.33。CCleaner是一款非常受欢迎的软件，每周的下载量超过500万，截至2016年11月，CCleaner声称全球拥有超过20亿次下载量。因为被植入恶意代码的程序具有合法的数字签名，因此该事件也被认为是开发商被攻击导致的源代码遭篡改，而非信息流上的篡改或仿冒。
研究人员表示如果恶意代码连接C2失败，将会使用DGA生成域名并查询DNS。思科在分析期间观察到DGA域名尚未注册，其研究人员将这些域名注册并sinkhole，防止攻击者进一步攻击。被植入恶意代码的CCleaner执行流程如下：
上述安全事件为我们传统的可信认证体系敲响了警钟，一旦供应链上游被渗透，那么传统的“可信”将变的不可信，来自官方的带有数字签名的文件也可能是遭到篡改的，具有数字签名的文件也可能是被植入恶意代码的。
2.1.2 技术标准污染
加密算法是现代网络安全技术的基石之一，合理的使用加密算法可以保证网络间通信的安全性。
然而一份斯诺登2013年曝光的资料显示[4]，NSA和英国情报机构可破解包括VPN和HTTPS在内的绝大多数互联网隐私保护和加密技术，这意味着大多数经过加密的个人和商业网络通讯数据、在线交易信息，对NSA来说都唾手可得。
NSA主要通过这几种方式达到其目的：
1. 干预信息安全国际标准的制定过程，削弱密码系统，将NSA可破解的加密标准加入国际标准中；
2. 利用超级计算机（或新一代的量子计算机）对加密算法暴力破解；
3. 通过花费大量资金同技术公司或互联网服务商合作，采用多种手段降低信息安全产品的安全强度。
早在2007年，两位密码学家（NielsFerguson和Dan Shumow）发布报告《On the Possibility of a BackDoor in the NIST SP800-90 Dual Ec Prng》，提出2006年被纳入SP800-90 标准的Dual_EC_DRBG算法可能潜伏着一个后门。如果以特定方式选择定义算法的一个参数，算法产生的随机数是可以被预测的。斯诺登事件后，纽约时报曝光，“斯诺登”泄露的内部备忘录证实了NSA操纵和弱化了Dual_EC_DRBG算法。后来说明标准对包括Linux等多个系统安全性产生了影响。
密码学家MattewGreen在《A FewThoughts on Cryptographic Engineering（关于加密工程的一些总结）》[5]中对Bullrun和Cheesy Name相关项目内容做了如下的概括：“NSA每年花费2亿5千万美元，做了下面这样的事情：篡改国家标准（NIST标准被特别提及）以削弱密码系统；对标准委员会施加影响以弱化协议；同软硬件开发商合作以削弱加密算法和随机数生成算法的强度……”
2.1.3 “预置“后门和默认缺陷
在供应链上游的被预置在内的安全隐患中，大致可以简单概括为攻击者预制、开发者预制、渠道预制三种，攻击者预制是指攻击者利用供应链环节的脆弱点植入恶意代码、插入后门等，开发者预制包括厂商或内部开发者故意预留后门、开发人员为了方便测试或运维预留接口，渠道预置是运营商、分销渠道、店面等向产品二次安装软件等。
2.1.3.1 路由等设备内置后门
不论是厂商为了商业或其他目的预制的后门，还是由于开发人员的疏忽无意引入的后门，都是严重的危害计算机系统的脆弱性风险，存在后门的节点，降低了入侵门槛，很容易被攻击者远程利用、攻击和控制。
需要说明的是，被曝光的“后门”并不都是以恶意意图来预设的，有一定比例的“后门”实际上是未有效屏蔽或管控的调试或运维接口。信息产品必须进行模块调试和整体测试，也包括设计产品运维，因此必然会出现调试测试接口和运维接口。但如果这些接口在正式展品中没有有效屏蔽或者管控，导致其能与暴露面直接连接或者能导致匿名或普通用户提权，就起到了事实上的后门作用。
2014年CNCERT的一次集中通报中[6]，提及了Cisco、Linksys、Netgear、Tenda、D-link等主流网络设备厂商上百个批次产品预置后门的情况。在该次通报中，受32764端口后门、远程命令执行漏洞、提权后门等后门漏洞影响的产品占绝大多数。多数厂商都声称基于开发时的调试需要，留有一个管理员权限的后门方便开发人员调试。网络设备的高危漏洞如果未即时修补，在使用场景中也会起到和后门等效的效果。下表为2013年以来被曝光的路由器后门事件。
时间 | 事件 |
2013年10月 | D-link多款无线路由器被爆存在控制台后门 |
2013年10月 | 腾达（Tenda）无线路由器存在远程命令执行后门 |
2013年11月 | D-Link路由器被爆通过构造一个内置字符串可获取完整的控制权 |
2014年1月 | 思科承认旗下多款路由器存在未公开测试接口后门 |
2014年1月 | Netgear DGN2000产品的TCP端口32764上监听的Telnet服务部分没有归档，存在安全漏洞，成功利用后可导致执行任意OS命令。 |
2014年4月 | NetGear的多款路由器存在厂商设置的超级用户和口令后门，攻击者可以利用后门，在相邻网络内可获取到路由器的root权限，进而植入木马完全控制用户的路由器 |
2014年8月 | 磊科全系路由器被爆存在后门程序 |
2015年2月 | 中兴路由器（SOHO Router）暗藏后门 |
2016年9月 | D-Link路由器固件后门，导致内网域名劫持 |
2016年10月 | D-Link DWR-932B LTE路由器中发现多个后门 |
2017年4月 | 数十款Linksys路由器曝高危漏洞，可致远程命令执行及敏感信息泄露 |
2.1.3.2 IoT设备弱口令
2.1.3.3 软件预装和推广已形成产业规模
目前，大部分品牌的手机都搭载安卓系统，各个手机厂商为了突出自己的产品特色，常常将安卓系统进行深度定制，于是就有了多样化的安卓生态圈。部分厂商可能会在ROM中预装一些特定的应用程序，而这就给恶意代码进入用户设备提供了一个新的机会。在已曝光的恶意代码预装事件中，影响较大的是2011年的Carrier IQ事件。Carrier IQ是一家为运营商和手机制造商提供设备分析方案的公司，Android开发者Trevor Eckhart发现Carrier IQ公司与移动运营商合作预装入手机系统中的软件存在严重的隐私搜集行为，CarrierIQ不但可以偷取地理位置资料，甚至连手机的按键键入简讯内容和浏览的网站都可以看得一清二楚并回传分析。运营商Verizon和Sprint在其多款手机中预装了这一软件，涉及Android、Symbian和BlackBerry三个平台，相关报道称受影响设备数量达1.41亿。
Carrier IQ事件其实只是预装“敏感”软件的一个缩影，其他手机和PC都曾被指在出厂系统内安装“敏感”或“恶意”软件：2015年9月，安全公司G-Data 对外披露，国内多家手机品牌的智能手机中被预装了恶意应用程序。当然，植入这些间谍软件的很可能是第三方供应商或中间商（销售商）而并非手机厂商。2015年，知名PC厂商被指在系统内预装软件，软件会劫持合法连接，监控用户活动，并向合法网页注入用户并未请求的广告内容，并以弹出广告的形式呈现给用户。以上种种事件揭示了出厂或中间商环节的不可控，在利益的驱使下供应链的出厂或供应环节都是存在安全隐患的，当然这些点也是可以被攻击者进行渗透和利用的。
2.2 软件研发生产过程风险
软件研发生产是一个相当开放化的环境，开发者为了提升工作效率会借助开源代码，并没有在设计之初就将安全考虑在内，但开源软件可能本身存在安全缺陷，或者被恶意篡改，这都给软件研发生产环境带来了一定的安全风险，而软件研发生产环境的污染对供应链安全的影响是非常大的。
2.2.1 开发工具污染
在供应链开发阶段需要准备开发工具进行编程以实现各种功能模块，作为开发过程中的一个关键环节，一旦编程人员使用了不安全的开发工具，那么经由此开发工具输出的代码都可能存在被篡改、恶意植入等风险，甚至可能导致整个编程环境出现重大的安全隐患。
针对开发工具的攻击，影响最严重的莫过于2015年9月发生的XcodeGhost事件[7]。XcodeGhost事件是采用非官方供应链（工具链）污染的方式影响最终产品安全性的代表事件。Xcode 是由苹果公司开发的运行在操作系统Mac OS X上的集成开发工具（IDE），是开发OS X 和 iOS 应用程序的最快捷的方式，其具有统一的用户界面设计，同时编码、测试、调试都在一个简单的窗口内完成。2015年9月14日起，一例Xcode非官方供应链污染事件在国家互联网应急中心发布预警后，被广泛关注。攻击者通过对Xcode进行篡改，加入恶意模块，进行各种传播活动，使大量开发者获取到相关上述版本，建立开发环境，此时经过被污染过的Xcode版本编译出的App程序，将被植入恶意逻辑，其中包括向攻击者注册的域名回传若干信息，并可能导致弹窗攻击和被远程控制的风险。
如果对这一事件进行定性，我们将其称之为“地下供应链”（工具链）污染事件。在当前移动互联网研发过度追求效率、安全意识低下的现状下，连锁式地形成了严重后果。同时值得深思的是，据2015年3月份斯诺登曝光的一份文档显示：美国情报机构曾考虑通过对Xcode(4.1)SDK进行污染，从而绕过苹果App Store的安全审查机制，最终将带毒App放到正规的苹果应用商店里。可见无论是针对地下黑产，还是情报获取，供应链和工具链都将是“必争之地”。
从被现行发现的Xcode到之后被关注到的Unity 3D和Cocos 2d-x，以及我们预警的安卓开发平台被污染的可能性，一系列非官方版本污染事件涉及到了上述每个问题的层面，其正是通过工具链污染绕过了多个开发厂商的自我安全审核与号称非常严格的苹果应用商店的上架审核（也许对苹果来说，这个“多余”的模块就像一个新增的广告联盟的插件）。而一批开发者不坚持原厂获取开发工具，不审查工具的数字签名，这些都暴露了App开发领域的野蛮生长，忽视安全的现状。而这种被污染的App到达用户终端后，并不需要依赖获取更高权限，依然可以获取大量有价值的信息，但一旦与漏洞利用结合，就有可能形成巨大的威力。而同时，其也采用了与互联网客户端类似的信息采集聚合方式，而数据的聚合点，则位于境外的云服务平台上。从而使事件变成多边、多角的复杂关系。
2.2.2 开源软件本身安全缺陷
开源软件在全球范围内有广泛的应用。为了降低软件的开发成本和周期，从2012年起，已有超过80%的商业软件是在开源软件的基础上二次开发而形成的。这种开发模式，大大减少了开发成本和周期，避免了“重复造轮子”的无谓消耗。同时也带来了一个问题，开源软件的代码安全问题会传递到下游，必将造成广泛、严重的影响。在国家互联网应急中心对2015年一个季度的30款广泛使用的知名开源软件进行的安全测试中，在代码层面共发现高危安全漏洞3511个，反映了开源软件存在的安全问题十分严重。开源软件一旦出现安全问题，极容易造成波及面广、难以第一时间修复的问题。而在开源软件二次开发过程中，更存在被别有用心的攻击者直接植入恶意代码的风险。
2017年1月31日，Softpedia网站发布了一篇名为《Cryptkeeper LinuxEncryption App Fails at Job, Has One Letter Skeleton Key - "P"》的文章，其中提及，CryptKeeper应用在Debian 9中存在一个BUG，会使得用户为加密文件夹设定的密码被替换为单个字符“p”，从而使字符“p”作为解密由其加密的文件夹的通用密码。
安天对所涉及模块的源代码进行了分析，确认了该问题的存在。问题的原因出在CryptKeeper调用的encfs代码上，在encfs新旧版本中，对于同一个Config_Prompt模式，是否指定useStdin(-S)，行为是不一致的。在新版本中，如果指定了-S并且模式为Config_Prompt的话，会使用标准模式。
CryptKeeper根据旧版本encfs的设定，在代码中硬编码了"p\n"选项，来模拟键盘输入，以选择paranoia模式(具有更高的加密强度)。而本次事件中涉及的Debian9，仍处于测试版(unstable)阶段，使用了较新的encfs(1.9.1-3版)。新版本的encfs在-S参数的解析过程中不再读取模式，而是使用预配置的标准模式，并直接从输入中读取密码，因此，CryptKeeper中硬编码的"p\n"值被encfs直接看作密码，而实际应使用的密码被抛弃。由于-S模式关闭了输入回显，这个BUG并不容易发现。在安天对这个漏洞讨论中，也有工程师认为不能排除这一漏洞可能来自预制。
通过分析可以看出，这个自2007年起就一直以硬编码形式存在于CryptKeeper源代码中字符“p”，之所以在2016年成为可以破解加密数据的“通用密码”，是因为其调用的encfs修改了一个参数(-S)的执行逻辑。这个案例再度说明了系统安全的复杂性——特别是系统安全和数据安全“连接部”的脆弱性。如果基于CryptKeeper代码来做二次开发，则相关漏洞也会被传递。
2.2.3 丰富的外部信息获取带来风险隐患增加
软件开发过程中，工程师需要持续的外部信息获取，包括类似MSDN等技术资源库、论文资料检索、开源源码库、开发工具和其他的辅助小工具获取等等，同时还希望保持开发社区的参与度。因此，从研发效率的需求，应为工程师提供便利的外网信息访问条件；但从安全管控角度，这种便利的信息访问，就使得水坑攻击、钓鱼攻击的成功率大增。
2.2.4 源码服务器和源码管理
源码服务器是软件开发企业中相对独有的一种IT资产，是软件开发企业非常核心的无形资产的载体。但其往往可能没有获得有效的安全保障，导致可能会被入侵，窃取软件代码。
2.2.5 SOHO与便携办公
开发企业往往有更好的工作弹性，往往提供了较为灵活的工作方式，广泛的应用VPN实现工程师的远程接入，支持家庭办公、或者远程客户侧的研发和运营支持。
开发者在咖啡厅或其他公共场景中，基于公共Wi-Fi连接云上资源或内网，已经成为一个常见场景。显然，这增加了便捷机本身被入侵、登录凭证、邮件和其他信息被网络侧获取的风险，增加了中间人攻击的风险。
而在家庭环境中，处于方便性考虑，家用Wi-Fi等设备，往往类似密码较为简单，管理密码和接入密码没有分开，较多的出现使用办公机安装个人和家庭使用的软件，或者在家用机上接入办公网络等情况。
工程师在客户侧驻场开发和支持，也经常出现在客户网络中感染病毒，导致把病毒带回到研发场景中。
2.2.6 协同开发与在线开发服务
一方面，自建研发环境、工作协同环境需要配套安全投入；此外一些中小规模的软件研发企业，更多的把开发环境放在一些公有云平台上，这也带来了潜在风险。
而一些类似在线代码安全测试，代码混淆加密版权保护等机制，也会带来潜在代码泄露风险。
2.3 脆弱的链条——信息流、运输流的安全隐患
信息流是指为了传递商品和服务信息，在供应链上、下游之间，各节点及节点间的信息活动。运输流则主要指与硬件产品相关的运输和流通环节。本节主要通过几个典型事例，对软件供应链中间环节面临的威胁进行分析和说明。
2.3.1 监管审核漏网——官方应用市场出现恶意软件
在传统的PC软件环境下，一部分产品和代码通过提供者自己的渠道传播，而更多的则是通过无序的离散的网络分享形式传播，这样的体系造成盗版、安全等问题层出不穷。因此，手机行业两大智能系统IOS和Android都建立了自己的应用监管、审核、分发渠道。然而，即使是苹果和谷歌这样的厂商，也难以完全地杜绝包含恶意代码的应用在官方渠道出现。以苹果为例，除Xcode事件外，AppStore在官方的管控之下依然出现了恶意代码事件，可见该审核机制并不是铜墙铁壁，攻击者想要突破这层机制并不是没有机会。
2.3.2 第三方站、分发站——非原厂分发冲击安全供应链
大量的应用软件和工具依然依赖于互联网下载，而传统下载站、汉化站、驱动站等，普遍采用下载欺骗等方式，让用户难以发现真正的下载入口，容易下载所谓的“下载推荐器”等广告工具。同时，下载站对原有软件往往进行了捆绑和重新签名，在其中夹带广告工具、下载器甚至木马。这些下载工具和所夹带的广告程序，普遍具有信息采集和二次下载功能，带来了不受控的程序执行入口，其既可能导致用户的隐私和信息泄露，也可能被高级攻击者劫持和利用，进一步对用户造成更大危害。
2.3.3 服务站安全隐患——信息和数据泄露的安全问题
对于广大用户来说，信息泄露是相对隐性却相当严重的威胁。社交网络、电子商务的日渐活跃和医疗保健、电信运营商、银行等机构必要的信息采集，使得广大民众大量的隐私信息被托管在数据中心或是相关机构的服务器中，一旦服务器遭到攻击，就会面临数据泄露的风险。与此同时，部分机构的内部人员受经济利益驱使，将手中掌握的信息出卖给黑色产业链的从业人员，牟取不正当的经济利益。令人遗憾的是，大部分民众对信息的隐私性没有足够的重视，在不经意间泄露了自己的信息。从总体来说，拖库、终端木马和APP的超量采集、流量侧的信息劫持获取，以及用户自身安全意识薄弱，已成为信息泄露的主要原因。
从整体来看，数据泄露事件受害领域涵盖了教育、航空、医疗、运营商、社交平台、保险、旅游、金融以及招聘网站、视频网站、购物网站等等。泄露账户数量从百万至上千万不等。个人邮箱、密码、身份证等用户信息仍是黑客窃取的重要目标。呈现了受害领域广、受害数量大、泄露频率高的特点。当信息被泄露之后，容易被恶意利用进行网络诈骗、推销、敲诈勒索，甚至被黑客在黑市大量出售，赚取不义之财，受影响用户的相关账户也将容易受到二次被盗风险。
信息泄露的背后有一条完整的产业链。当个人信息被不法分子获取，它们将沿黑色产业链被转卖至诈骗团伙、黑客、保险、房产、理财等行业中介机构或营销人员手中，用于诈骗、钓鱼或定向营销。
2.3.4 网络传输——网络通信劫持
在通信过程中，信息不一定按照用户的意愿流动，可以被劫持和窃取。通信劫持是获取信息和资源的重要手段，在信息和情报采集方面有广泛使用。
基于网络劫持的注入已经是美国情报机构进行网络攻击的重要入口，长期进行了工程体系建设、前置作业和攻击装备积累。
2014年3月，斯诺登曝光量子（Quantum）攻击工具，资料显示相关情报机构不仅能够在运营商的网络中持久化存在，还能够通过劫持用户的通讯获取情报和资源，甚至重定向网络连接或修改网络流量数据。量子涵盖了包括DNS和HTTP注入式攻击等在内的一系列网络攻击工具，还拥有插入数据库管理系统的插件等小工具，让NSA能够在神不知鬼不觉的情况下，干扰第三方数据库的内容。泄露资料显示，NSA将量子攻击工具分为计算网络利用/刺探（CNE）、计算机网络进攻（CNA）、计算机网络防御（CND）三类，相关劫持能力如：将访问目标重定向到恶意链接或服务器、黑掉僵尸网络的通信信道来控制僵尸网络、在文件上传和下载中破坏或注入恶意代码等，具体工具如下图所示。
2.3.5 物流链——物流运输劫持
物流链由于其物理属性较强，较长时间在网络安全的视野之外。
2013年斯诺登泄露的资料显示，美国情报机构NSA采用物流链劫持的方式进行木马植入[9]。其工作流程是：拦截发送到目标地区的计算机和网络设备的物流过程，然后由TAO（特定入侵行动办公室）情报和技术人员完成固件植入程序，并重新包装发送到目标机构。曾经有一则很滑稽的新闻报道了这样一件事[10]：Cisco（思科）为避免NSA中间劫持发往敏感用户的路由器，首先把发给这些用户的路由器发到一个假地址，然后再进行二次配送。这从层面旁证：第一，NSA的确在做物流链劫持事情；第二，Cisco确实有一份敏感客户的名单。
除斯诺登泄露的NSA相关资料外，2016年维基解密曝光的大量CIA相关文档资料也显示了相关国家在物流层面进行的攻击活动，其中一份被称作Vault7“暗物质”的文档，揭示了CIA的数个网络攻击项目。其中一个被称作“NightSkies 1.2”的项目，一款“Beacon/载入程序/植入工具”，自2008年以来CIA一直在利用这一工具，该工具的使用手册中明确说明该工具是针对新出厂的设备。维基解密称，“虽然有时CIA会派遣特工在设备中植入恶意代码，但CIA也会通过对目标公司的供应链下手完成的，例如阻断邮寄和其他发货途径(开箱、植入恶意代码、重新发货)。”
2015年初卡巴斯基和安天先后披露一个活跃了近20年的攻击组织——方程式组织（EquationGroup），该组织不仅掌握大量的0day漏洞储备，且拥有一套用于植入恶意代码的网络武器库，其中最受关注、最具特色的攻击武器是可以对数十种常见品牌硬盘实现固件植入的恶意模块。依靠隐蔽而强大的持久化能力，方程式组织得以在十余年的时间里，隐秘地展开行动而不被发现。
2.4 软件应用场景中的问题
软件供应链下游是通过信息流、运输流获取到相应的产品、代码、工具、服务等进行使用的角色。一般而言，软件应用场景中面临的安全问题主要出现在对上游提供产品、工具的验证和使用过程中。
2.4.1 违规使用——盗版、Root的风险
2.4.1.1 盗版操作系统隐藏安全风险
微软在2010年调研发现，全球将近70%的消费者认为使用盗版软件不像使用正版软件那样安全。而针对Windows系统的另一调查发现[11]，超4成盗版操作系统含木马病毒。微软此前曾从收集了不同版本的盗版Windows 7光盘，其中6%的光盘无法安装，24%包含了各种高危病毒木马，54%安装后会发现操作系统被不同程度地删改。业内人士透露，有很多黑客组织在制作盗版Win7系统的同时，修改了很多代码，使安装了这个版本的用户陷入“魔掌”。
2.4.2 反盗版、激活机制、在线运维——正版带来的另类风险
软件厂商为保护自身版权，往往设计了与主机信息采集相关的在线激活机制，也设置了一些盗版管控的验证方式和处置接口。一些国外厂商，与国内代理公司和律所合作，将其采集信息认定的“盗版”用户清单，提供给相关机构进行联系，推进购买正版软件。这种模式引发了一定诟病，被视为是一种“讹诈”式营销方式，而从网络安全的角度上看，这同样构成了多重风险隐患，也包括此前“微软黑屏”事件引发了巨大争议。过度采集系统环境和信息带来信息风险，如果软件使用清单被泄露，就会导致对攻击者的入口指向。而一些全球广泛覆盖的软件产品，其硬件指纹采集的覆盖能力，实际上构成了可以辅助国家级网络攻击的精确“制导”能力。
更为直接的风险是一些复杂的信息平台或产品，往往有默认的面向厂商开放的远程维护接口，在给客户带来便利和降低厂商运维成本的同时，也带来了多种风险。
2.4.3 智能设备Root、越狱导致的安全隐患
随着智能手机普及率越来越高，各式各样的root、越狱软件也层出不穷。以Android系统为例，root软件大多利用Android操作系统中的一些漏洞，获取root权限成为超级用户。更有如“一键root”的产品，只需要将手机与电脑相连，并打开调试模式，再无需其余的操作，软件将在几分钟内帮用户获取手机的root权限。这些软件通常会介绍root之后可以删除手机中本来的应用，添加一些自身想要的功能来诱导用户进行root，相反它们通常不会强调root可能导致的严重后果会危及到设备的安全性。实际上，大部分的用户是不需要刷root权限的。手机刷了root权限，就等于主动给部分应用程序敞开窥探隐私的大门。这些程序可以随意的将用户的短信、联系人、通话记录等信息上传到他们自己的服务器上，而如果这些重要的信息落入黑产从业者手中，可能会给用户带来更多的困扰。
2.4.4 验证突破——穿透应用程序数字签名体系
代码签名体系一直作为保证软件不可篡改和不可抵赖的核心机制，部分主流杀毒软件在早期也多数选择了默认信任有证书程序的策略。在“震网”等APT事件发生后，证书窃取问题开始被广泛关注。2015年Duqu 2.0攻击卡巴斯基实验室的事件中，恶意代码就使用了盗自富士康公司的数字证书[12]。
但带有“合法”签名的恶意代码，早已不再是APT攻击的专利，从2016年恶意代码数字签名使用的统计情况看，接近五分之一的Windows PE恶意代码带有数字签名，五分之一以上的带有数字签名的Windows PE恶意代码可以通过验证，且其中大量的签发证书并不来自盗用，而来自正常流程的申请[13]。
更为危险的是，安卓系统始终坚持自签发证书，始终未建立统一的证书认证管理机制。在安天移动安全团队的监测中，已经发现了多起使用知名厂商证书签名恶意代码事件，不排除相关厂商的APP签名证书已经失窃。而在开发者中，亦出现过开发者将私钥证书同步到Github的事件。
在人们的印象中，证书的安全性更多在算法层面，例如被讨论更多的是散列算法的安全性对证书的影响，但正如我们反复指出的那样“如果没有端点的系统安全作为保障，那么加密和认证都会成为伪安全。”证书的密码协议设计固然重要，但其并不足以保证证书体系的安全，遗憾的是，以Windows PE格式为代表的现有代码证书体系，是在端点窃密安全威胁还没有成为主流的情况下建立的，在这个体系中，证书签发环境的安全、证书统一管理和废止机制、证书机构自身的系统安全都没有得到足够的重视。
而迄今为止，Linux系统未能建成普适性的签名认证体系，毫无疑问，这为Linux下的安全防御带来了进一步的困难。Windows平台下的一些著名开源软件，也依然在二进制版本的发布中没有引入数字签名机制。
签名体系本身是不足以独立在一个开放的场景中保证软件供应链安全的，但不管如何，代码签名体系依然是软件供应链安全体系的重要基石，其更重要的意义是实现发布者验证和追溯机制。没有代码签名体系的世界，注定是更坏的世界。
2.4.5 地下供应链和工具链、第三方来源市场削弱了机构客户的防御能力
随着品牌预装、集中采购等因素，操作系统和办公软件的正版化获得了一定的改进，但盗版操作系统的低安全性配置，包括预装木马和流氓软件的问题，依然危害着机构客户的安全。不同来源的第三方下载站点、云服务、共享资源、破解盗版软件等未授权服务构成了地下供应链，给我国的信息系统安全带来了严重的影响。用户使用的部分应用工具依然依赖于互联网下载，而传统下载站、汉化站、驱动站等，普遍采用下载欺骗等方式，让用户难以发现真正的下载入口，下载的是所谓的“下载推荐器”等广告工具，同时下载站对原有软件驱动往往进行了捆绑而重新签名，在其中夹带广告工具、下载器或其他的木马。这些下载工具和所夹带的广告程序，普遍具有信息采集和二次下载功能，带来了不受控的软件安全入口。其既可能导致机构客户的安全失窃，同时这些通道也可能被高级攻击者劫持和利用。通过地下供应链获取的软件容易被攻击者植入恶意代码，导致敏感数据泄露引发重大安全威胁。值得注意的是，一些正规的下载站、应用市场也并非绝对安全，由于审核不规范也会被攻击者利用，伪装成正规软件下发。
2.4.6 升级劫持
在软件产品的整个生命周期中，需要对自身进行更新升级、漏洞修复等，攻击者往往会通过劫持软件更新的渠道进行攻击，比如通过预先植入到用户机器的病毒木马重定向更新下载链接、软件产品更新模块在下载过程中被劫持替换。
2017年8月，安全团队截获恶性病毒“Kuzzle”，该病毒感染电脑后会劫持浏览器首页牟利，同时接受病毒作者的远程指令进行其他破坏活动。“Kuzzle”通过下载站的高速下载器推广传播，下载器会默认下载携带病毒的“云记事本”程序。电脑感染病毒后，浏览器首页会被劫持，谷歌、火狐、360等多款主流浏览器都会被修改为hao123导航站。“Kuzzle”通过盗用知名安全厂商的产品数字签名、利用安全软件“白名单”的信任机制等多种手段躲避安全软件的查杀。
2017年6月27日晚，Petya勒索病毒变种NotPetya在乌克兰爆发，并蔓延到俄罗斯、印度、西班牙、法国、英国等多个国家。病毒攻击的根源是劫持了乌克兰专用会计软件me-doc的升级程序，使用户更新软件时感染病毒。
但实际上，这些软件的升级程序已被不法分子替换。当用户升级某软件客户端时，下载地址被重定向至恶意软件，恶意软件在运行正常安装包的同时静默安装其他推广程序。
公网升级源并不是攻击者攻击的目标，企业级安全产品的管理中心、企业应用商店、企业网内的升级服务器对APT攻击来说，是更关注的目标，由于其可以分发安装包、升级文件和补丁，导致其可以构造内网的批量渗透。此前，我们发现过在某客户场景中，杀毒软件的内网升级服务器被攻陷，导致攻击者批量渗透了内部节点。
3.1 对国家安全和国防安全影响
供应链攻击是突破高等级防护目标的更为有效和致命的入口，特别如果再与线上、线下相结合；网空与电磁攻击方式相结合，就构成了致命的打击能力。对总体国家安全的各个方面都可能造成致命的影响。
前美国陆军参谋长高级顾问Maren Leed指出，网络武器具有无与伦比的多功能性，它们可用于从参与到高端作战的所有军事行动。因为它们的影响是可逆的，它们可以在多个时间点发起攻击。而且列举的攻击时间点就明确包括了入侵开发场景。面对外方的攻击作业想定，我国自主研发企业必须做好准备。
3.2 知识产权损失和企业竞争力削弱
因供应链上游安全隐患、信息流和运输流的安全隐患、下游安全隐患而导致源码、文档、工艺、配方、流程等用户知识产权遭到泄露、窃取等，直接导致受害者在研项目停滞、知识产权保护期内技术及产品被恶意利用或仿冒，进而引发受害者领域内竞争力、经济状况、商业伙伴关系等一系列相关范畴的负面影响。
3.3 预制跳板攻击下游用户
从软件生产上游、软件研发生产环境，到信息流、运输流，再到用户的软件用于场景，软件供应链的各个环节都可能成为攻击者的攻击窗口，无孔不入的对目标系统进行信息采集、攻击载荷预制等网络攻击行为。攻击者通过恶意载荷在目标系统进行持久化驻留，并将目标系统作为跳板，通过这些跳板渗透到其他高价值系统中。在“震网”安全事件中，在攻击伊朗铀离心设施之前，攻击方已经入侵渗透了伊朗的多家主要国防工业和基础工业厂商，特别是离心机主要生产厂家Kala Electric，针对设备生产商、供应商、软件开发商等工业基础设施进行全面入侵渗透和载荷预制，并将其作为跳板，最终渗透到伊朗铀离心机，阻断了伊朗核武器进程。
3.4 提升攻击者脆弱性分析和漏洞挖掘的效能，攻击下游用户
随着对软件功能和需求的不断扩展，软件的复杂程度不断提高，安全漏洞的产生自然也是无法避免的。但攻击者面对攻击目标时，如果以有限的暴露面为入口，寻找漏洞和攻击点就需要一定成本和代价。而在攻击者窃取了软件开发文档和代码后，就使攻击者在面对软件用户时，充分掌控了信息不对称性优势。特别是攻击者的漏洞发现过程不再是基于有限的暴露面尝试，或者二进制层面的逆向，而是可以直接在源码中寻找漏洞和缺陷，通过更多的自动化工具进行fuzzing和挖掘；其对分析，直接基于源码来完成，包括可以引入代码安全分析工具，从而快速找到可利用的暴露面、弱点和漏洞，从而大大提升攻击效果。
另一种情况是，攻击者获取代码和文档后，就能更快的分析开源和第三方组件应用情况，从而由已知的开源代码和组件漏洞中快速找到攻击点。
3.5 攻击目标选择的新模式
供应链攻击往往被视为，为了攻击最终目标场景的前导环节。但以开发机构为目标的攻击广泛出现后，就会使攻击者反其道而行之，批量的寻找其中的价值目标节点进行攻击。
3.6 导致雪崩效应
软件供应链环节非常复杂，暴露给攻击者的攻击面也非常多，软件供应链的各个环节都可能成为攻击者的攻击窗口，这其中的任意环节被攻击者利用，都可能引发雪崩效应，造成不可估量的影响。Xshell 系列软件源码遭到篡改的事件中，十万级别用户受到影响。CCleaner 后门事件中，下载受感染版本用户高达272万。NotPetya通过乌克兰流行会计软件（M.E.Doc）更新程序，短时间内袭击了乌克兰、俄罗斯、印度、西班牙、法国、英国以及欧洲多个国家。一旦供应链环节遭到利用，由此引发的雪崩效应将会给关键信息基础设施和重要信息系统造成不可估量的影响。
总之，面对高级网空威胁行为体的体系化作业和黑产体系的多环节打击，供应链攻击带来的攻击影响将是复杂的，其绝不简单影响到产品厂商和直接用户，在国家竞争、商业竞争、公民个人安全等方面都会形成连锁影响，而且重大攻击事件的影响和后果往往需要很长时间也无法有效止损和消除。
2001年，美国国家安全电信和信息系统安全委员会宣布，自2002年7月起，在国家安全系统中强制使用经过美国NIAP（国家信息保障联盟）认证的IT产品。2008年1月，时任美国总统布什发布了第54号国家安全总统令（NSPD54）/第23号国土安全总统令（HSPD23），其核心是国家网络安全综合计划（CNCI，Comprehensive NationalCybersecurity Initiative），提出要为全球供应链风险管理发展一种多管齐下的方法。其中的一项重要措施就是要与工业界合作制定和采用供应链与风险管理标准及最佳实践措施。美国国家标准与技术研究院NIST于2015年10月召开了“网络供应链风险管理最佳实践”研讨会，分享了一些网络供应链风险管理使用的工具、标准、流程和在多个行业的最佳实践等案例，包括波音、思科、富士通、杜邦、宝洁、英特尔、火眼等各行业顶级公司。
在相关标准方面，2013年8月，NIST发布了SP 800-161《联邦信息系统和组织的供应链风险管理实践指导草案》。该标准就识别、评估和减轻各种程度的ICT供应链风险问题为联邦部门和机构提供了指导。相关标准还包括SP 800-39《管理信息安全风险》，SP 800-53《对联邦信息系统和组织的安全控制建议》等。
美国还积极参与了第一部针对IT供应链安全的国际标准ISO/IEC 27036-3-2013的制定，该标准提供了IT软件、硬件和服务的供应链安全指南，将信息安全过程和实践整合到系统和软件的生命周期过程中，并且专门考虑了与组织及其技术方面相关的供应链安全风险。
国内，供应链网络安全相关理论研究与实践探索起步较晚，缺乏相关的标准、规范、政策、法律法规，但安全厂商、设备供应商，研究人员也在不断的努力控制供应链安全风险。
在理论研究方面，吴世忠等人编著了《信息通信技术供应链安全》，探讨了信息通信技术供应链相关概念及其面临的安全威胁，详细讨论了硬件供应链与软件供应链的安全风险与应对，分析了我国当前面临的信息通信技术供应链的安全风险，提出了相关安全对策和建议。
软件供应链的风险管理，需要相关各方的共同参与和努力。具体来说，需要建立清晰的架构和标准体系，以推动各环节增加有效安全考量；对供应商加强安全生产和开发要求，推动软件供应链透明化；对软件供应链环节进行有效标注，厘清技术来源，定位和说明关联风险，掌握开源利用和第三方模块的风险流动；各方加强与安全厂商的合作，提高系统的整体安全性、增强威胁情报和态势感知能力；软件供应链安全防御的部署不仅位于当前环节，而且要延展至前驱与后续环节，使安全能力得到最大程度的覆盖。
国家主管部门层面，建议不断加强供应链安全相关政策制度、法律法规、标准规范的编撰，积极组织供应链安全的理论与实践探索，完善供应链安全体系建设；监管部门需要加强对供应链安全环节的监督管理，协同构建良好的供应链安全生态；在安全人才培养方面，强化全生命周期的代码安全工程能力。引导供应链层面的更进深入的安全资源投入。
软件开发企业和机构、也包括自研层面，需要全面提升研发场景的网络安全规划水平，加大安全防护投入。对第三方供应商进行有效管理，最大限度的缩小暴露的攻击面；企业应建立安全的上游供应链，积极改善IT治理和纵深防御，提升开发环境安全；开发人员全面提升代码安全工程能力，严格遵守开发规范，对调试、运营接口进行有效的约束和管理；定期或及时开展教育和培训课程，提升安全意识；软件发布前应该经过严格审计，软件规划开发的各个阶段需要进行严格的安全规划审查、代码安全审计，降低安全风险；软件产品的分发过程要进行严格的控制，企业可以通过安全的门户网站建立统一的应用商店。构建应急响应机制，建立产品安全应急响应组织，完善快速补丁和升级机制，及时对威胁事件进行安全响应；
网络安全厂商层面，需要首先做好自身的网络安全防护工作，强化自身产品的安全工作，让安全产品自身更安全。同时提升面向供应链场景的威胁感知和响应能力，增强向研发场景的安全赋能能力。
从政企用户场景看，面对日趋严峻的供应链安全问题，一方面，要完善响应排查机制；另一方面，不应该都寄托于亡羊补牢，而是应该围绕有效防护展开。具体来说，在基础结构安全方面，需要设计合理的网络安全结构，增强网络的可管理性。可管理网络能够增强网络的可防御性，收缩攻击面，提升对手获得控制权的难度和成本。在积极防御方面，供应链攻击的有效防护应该从终端侧、产品侧的安全告警等被动响应模式，转变为主动发现潜在网络威胁的级别，缩短威胁暴露的窗口期。同时，持续跟进供应链安全情报，随时发现关联风险。
个体用户层面，用户应该选择正版或官方软件资源下载渠道，并对可疑邮件、链接等时刻保持警惕；使用正版的操作系统，定期进行系统安全修复；从官方渠道进行软件升级和卸载，避免被攻击者利用；安装终端防护软件（如安天智甲），定期对终端系统进行全面的扫描、系统查杀，最大限度地保证终端系统安全。
在移动互联网生态场景中，APP软件供应链环节安全威胁呈上升趋势。虽然，手机木马蠕虫等传统恶意软件，在安天等厂商的原厂安全赋能后，快速增长的趋势得到遏制。但高级攻击者和灰色产业体系对移动供应链的渗透甚至直接参与，却将成为更大的挑战。在第三方漏洞、恶意SDK、分发污染、应用更新等供应链环节均出现了不同的安全挑战。
而随着互联网+和智能化的浪潮，IoT设备的广泛应用，政企应用的互联网化，企业的防护正面不断增大，增加了企业的防护成本，提升了内部安全防护的难度。与传统的边界防护相比，新兴设备的接入使得原有的防护边界有所扩散，并形成一个非受控的信息通道。供应链的整个链条任意环节的安全问题一旦被触发，都可能造成严重影响。
在过去的种种案例总结中，供应链攻击多被作为一种“曲线”进入核心IT场景的外围攻击手段，这是频繁发生的事情，但如果这是我们理解这一问题的唯一方式，就是把战略问题战术化了。我们有理由确信：未来的网络安全的对抗，是全场景和全生命周期的，攻击者会基于大数据更容易找到目标和入口，会更多地把供应链作为攻击的起点，因此我们还是要重复我们已经重复多次的观点：
“供应链从来就不只是网络威胁对抗中的外围阵地，而是更为核心和致命的主战场。”
http://www.antiy.com/response/2015_Antiy_Annual_Security_Report.html
[2] 安天：2016年网络安全威胁的回顾与展望
http://www.antiy.com/response/2016_Antiy_Annual_Security_Report.html
[3] 思科：CCleanup:A Vast Number of Machines at Risk
http://blog.talosintelligence.com/2017/09/avast-distributes-malware.html?m=1
[4] 斯诺登向英国卫报曝光NSA和英国情报机构可破解大部分加密通讯
https://www.theguardian.com/world/2013/sep/05/nsa-gchq-encryption-codes-security
[5] MattewGreen: A Few Thoughts on Cryptographic Engineering
https://blog.cryptographyengineering.com/
[6] CNCERT路由器后门通报
http://www.cert.org.cn/publish/main/9/2014/20140210091555248367162/20140210091555248367162_.html
[7] 安天：Xcode 非官方版本恶意代码污染事件（XcodeGhost） 的分析与综述
http://www.antiy.com/response/xcode/xcodeghost.pdf
[8] CNCERT对开源软件的漏洞统计
http://lab.cert.org.cn/download/2015%E5%B9%B4%E5%BC%80%E6%BA%90%E9%A1%B9%E7%9B%AE%E7%AC%AC%E4%BA%8C%E5%AD%A3%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90%E6%8A%A5%E5%91%8A.pdf
[9] Photosof an NSA “upgrade” factory show Cisco router getting implant
https://arstechnica.com/tech-policy/2014/05/photos-of-an-nsa-upgrade-factory-show-cisco-router-getting-implant/
[10] Cisco posts kit to emptyhouses to dodge NSA chop shops
https://www.theregister.com/2015/03/18/want_to_dodge_nsa_supply_chain_taps_ask_cisco_for_a_dead_drop/
[11] 微软2010年对windows系统展开调查
http://tech.sina.com.cn/it/2010-11-17/15454876350.shtml
[12] 卡巴斯基:Duqu2.0 盗用富士康证书签名
https://securelist.com/blog/research/70641/the-duqu-2-0-persistence-module/
[13] 李柏松. 由Windows的安全实践看可信计算的价值和局限[J]. 信息安全与通信保密, 2014(9):100-107