攻击原理与核心特征
供应链攻击区别于传统网络攻击的根本特征在于攻击入口不在目标内部，而在其信任的外部依赖。
为什么供应链攻击如此危险
现代软件开发高度依赖开源生态与第三方组件。据 Synopsys 2024 年报告，97% 的代码库包含开源组件，平均每个应用 78% 的代码来自开源依赖。这意味着攻击者只需在一条依赖链的任一点注入恶意代码，即可在分发过程中自动「感染」所有下游消费者。
供应链攻击具备三重不对称优势：
- 信任放大效应：受害者主动拉取并执行「受信任」的更新或依赖，攻击者无需突破防火墙或钓鱼员工。
- 规模杠杆：单个上游污染可波及数万下游组织，攻击成本极低而防御面极广。
- 隐蔽持久：恶意代码随正常软件签名分发，传统杀毒与IDS难以区分正常更新与恶意载荷。SolarWinds 后门在被发现前已在 18,000+ 网络潜伏 14 个月。
攻击分类体系
根据攻击入口与手法的不同，供应链攻击可分为五大类：
一、开源依赖投毒
攻击者在 npm、PyPI、Maven 等公共仓库发布名称与流行包相似的恶意包（typosquatting），或通过社工获取合法包的维护权后注入恶意代码（账号接管），或作为协作者向开源项目提交表面正常、实则含后门的补丁（贡献者攻击）。典型事件：2024 年 XZ Utils 后门——攻击者用两年时间伪装为活跃贡献者获取维护权，将后门植入 liblzma 5.6.0/5.6.1，险些进入全球 Linux 发行版。
二、软件更新渠道劫持
攻击者入侵软件供应商的更新服务器、签名密钥或 CI/CD 管道，将恶意代码伪装为正常软件更新推送至所有客户。这是危害最大的一类。典型事件：SolarWinds Orion（2020）——攻击者在 Orion 平台 DLL 中植入 SUNBURST 后门，随正常更新分发至 18,000+ 客户（含美国国防部、财政部、国土安全部）；ASUS ShadowHammer（2019）——攻击者劫持华硕 Live Update 工具，向约 50 万台设备推送含后门的更新，针对约 600 台特定 MAC 地址设备。
三、第三方服务与 SDK 滥用
攻击者通过入侵第三方 SDK（如广告 SDK、分析 SDK、支付 SDK）或 SaaS API，利用应用对第三方服务的信任横向渗透。典型事件：3CX DesktopApp（2023）——攻击者在 3CX 语音客户端中植入信息窃取载荷，波及 600,000+ 企业客户；Codecov Bash Uploader（2021）——攻击者篡改 Codecov 的脚本工具，窃取数百家客户的 CI 环境变量（含密钥与 Token）。