热门动态

2023年勒索事件高发 2023年，约有 78% 的公司使用开源软件，90%的云平台以及区块链项目使用了开源组件进行构建。随着开源软件的广泛使用以及软件供应链安全治理困难，勒索组织有针对性的攻击关键供应商，进而勒索软件供应链下游大量拥有敏感数据、能够支付高额赎金的组织。 根据大数据平台statista统计，2017年到2022年的勒索攻击次数增加了168%，…

导语 近日，腾讯朱雀实验室发现著名AI社区Hugging Face开源组件datasets存在不安全特性，可引发供应链后门投毒攻击风险。AI开发者使用该组件加载攻击者构造的包含恶意代码的数据集时，会导致PC/服务器被入侵，同时在大模型预训练、微调等场景中，最终还可能导致大模型参数被窃取或篡改。 朱雀在此建议大家及时排查，同时也将持续进行大模型基础设施安全研究…

背景 Curl是从1998年开始开发的开源网络请求命令行工具，其中包含的libcurl也被作为组件广泛用于应用的HTTP请求。 10月4日，curl项目的作者bagder(Daniel Stenberg)在GitHub中预告将于10月11日发布 8.4.0 版本，并公开两个漏洞：CVE-2023-38545和CVE-2023-38546。其中 CVE-202…

一个未知的威胁行为者正在利用恶意的npm软件包来针对开发人员，目的是从受害者的机器中窃取源代码和配置文件，这显示了威胁在开源代码库中持续存在的迹象。 软件供应链安全公司Checkmarx在与The Hacker News分享的一份报告中表示：“与此次攻击活动相关的威胁行为者可以追溯到2021年的恶意活动。从那时起，他们不断发布恶意软件包。” 最新的报告是Ph…

APT34是什么？ APT34是一个伊朗的威胁组织，主要在中东地区活动，针对该地区的各种不同行业的组织。它之前已被关联到对UAE的其他网络监视活动。 这个威胁组织经常发动供应链攻击，利用组织之间的信任关系攻击他们的主要目标，系统地攻击那些似乎是出于战略目的而被精心选择的特定组织。 根据Mandiant的研究，APT34自2014年起就开始活动，使用公开和非公…