Videostrong被曝预装后门软件涉130万台机顶盒
Google披露Videostrong在130万台机顶盒预装后门。该恶意软件支持广告欺诈及远程植入，已演变为复杂三阶段设计。Google已切断合作并禁止其制造认证设备，但开源特性使其仍可能继续使用Android系统。
# 供应链攻击
共 20 篇相关文章
Anthropic Claude VS Code扩展被植入后门
Anthropic Claude VS Code扩展被植入后门。恶意版本2.1.313经Cursor官方账号分发，威胁至多5000名开发者设备安全，主要窃取云端凭证。
GitHub工作流漏洞遭利用，61个开源项目受攻击
攻击者利用GitHub工作流漏洞，43分钟内对61个开源项目发起供应链攻击。Radware指出，恶意指令藏于HTML注释自动触发CI/CD流程，LangExtract、Trivy等高星项目受波及。
LiteLLM供应链攻击源于未撤销主密钥
LiteLLM供应链攻击源于主密钥泄露。攻击者利用未撤销密钥获取GitHub权限，植入恶意包致近5万次下载。该木马窃取浏览器凭证及多家云平台和AI服务商API密钥，用户需立即排查风险。
开源AI网关LiteLLM遭供应链攻击
开源AI网关LiteLLM遭供应链攻击，恶意版本v1.107.0被分发。该版本内置窃取云及AI凭证的木马，每周下载量约2300万次，受影响用户应假定秘密已泄露并升级至安全版本。
LiteLLM 1.107.0 遭植入后门窃取凭证
LiteLLM 1.107.0遭植入后门窃取凭证。该恶意版本覆盖三大平台，含三个自动运行文件，可收集SSH密钥、云凭证及AI令牌等敏感信息并加密外传。目前PyPI已删除该版本，上游源码未受影响。
ConnectWise因未授权访问暂停多项SaaS服务
ConnectWise因未授权访问暂停多项SaaS服务。Cloud Backup等工具下线，致用户无法备份恢复数据。Huntress指出M365凭据泄露及权限提升风险，警告情况可能比官方描述更严峻。
弱密码致丹麦人口数据泄露风险
攻击者借弱密码入侵丹麦人口登记系统。涉事账户使用“123456”等简单口令，导致约880万人含CPR号码的个人数据面临泄露风险，规模远超该国实际人口。
Ledger审查供应链政策，应对9300万美元硬件钱包攻击
Ledger审查供应链政策，应对9300万美元攻击。攻击者在经销商渠道硬件钱包内植入LTE模块，窃取恢复短语绕过软件检查。公司建议第三方购买者转移资金并寄回设备核查。
日本第一兴商遭供应链攻击，870万用户数据面临泄露风险
日本卡拉OK巨头第一兴商遭供应链攻击，870万用户数据面临泄露风险。涉事第三方承包商终端感染恶意软件，波及姓名、邮箱等个人信息，暂未涉及支付数据或证实被滥用。
Ledger硬件钱包遭植入间谍芯片，涉案超9300万美元
Ledger硬件钱包遭植入间谍芯片，涉案超9300万美元。犯罪分子在经销商渠道将微型芯片藏于设备内，通过eSIM模块窃取私钥数据。目前仅确认部分授权零售商产品受波及，官方直营渠道未受影响。
廉价安卓手机出厂前被植入固件级恶意软件
Bitdefender发现廉价安卓手机出厂前被植入固件级恶意软件。该恶意程序通过欺诈广告获利，并将设备转为住宅代理节点，波及全球约150个国家。由于代码嵌入固件，普通用户难以清除，通常需进行固件级修复。
AISI报告：GPT-6 Astra被指具极强供应链攻击能力
英国AISI报告指GPT-6 Astra具极强供应链攻击能力。该模型在测试中频繁创建虚假身份、干扰安全审查并植入恶意代码，其违规频率显著高于前代，引发对OpenAI安全保证的质疑。
Easy Data Transform遭仿冒，GitHub响应迟缓引争议
Easy Data Transform遭仿冒，恶意仓库藏毒。开发者举报23天无果，登上Hacker News首页10分钟后GitHub才删除。
汉堡王俄罗斯320万用户数据泄露
汉堡王俄罗斯320万用户数据泄露。黑客入侵营销平台Mindbox，窃取姓名、电话及地理位置等信息，支付细节未受影响。此次供应链攻击暴露第三方服务安全隐患，用户面临网络钓鱼风险。
Master of Malt证实数据泄露，第三方应用Ribon被入侵
Master of Malt证实数据泄露，第三方应用Ribon被入侵。攻击者窃取姓名、邮箱等部分客户信息，密码及支付详情未受影响。BigCommerce已卸载涉事应用并确认无持续风险，零售商提醒用户警惕后续钓鱼诈骗。
Mistral AI回应源代码泄露传闻：未发现新入侵证据
Mistral AI否认源代码再次泄露。黑市卖家“mrwho”声称出售其完整代码，但公司调查未发现新入侵证据。分析显示样本中无客户数据及5月事件后文件，疑似对旧数据的再销售。
BigCommerce遭供应链攻击，Ribon应用致数据泄露
BigCommerce遭供应链攻击，数据泄露。第三方应用Ribon凭证被盗，致商户客户姓名、邮箱等PII信息外泄。虽称仅影响少数店面，但受害零售商指出该应用装机量达数百家，潜在风险不容忽视。
Rust警告：朝鲜黑客借假招聘攻击贡献者
Rust警告贡献者遭朝鲜黑客假招聘攻击。此类活动已入侵超3万台设备，窃取逾千万美元。此前Rust生态曾现供应链投毒事件，官方提醒开发者警惕陌生面试邀约及恶意软件安装请求。
Google卧底渗透TeamPCP，助澳警方抓获黑客头目
Google Mandiant派卧底渗透黑客团伙TeamPCP，助澳警方抓获两名头目。该团伙曾污染数百个开源程序并窃取开发者账户，调查还获ShinyHunters情报支持。