硬核观察 | SolarWinds 攻击至少需要有 1000 位工程师

硬核观察 | SolarWinds 攻击至少需要有 1000 位工程师

SolarWinds 攻击至少需要有 1000 位工程师

这场长达数月的,可能影响了多达 1.8 万家美国政府机构和网络安全厂商的黑客攻击活动,是通过在 SolarWinds 的 Orion 网络管理软件内植入木马进行的软件供应链攻击。

微软总裁布拉德•史密斯在访谈中谈到,“我认为从软件工程的角度来看,可能可以说这是世界上有史以来规模最大、最复杂的攻击”。微软也是这次攻击的受害者之一,为了调查这次攻击,微软指派了 500 名工程师参与了调查。史密斯认为,“当我们分析在微软看到的一切时,我们问自己大概有多少工程师参与过这些攻击。而我们得出的答案是,肯定超过 1000 人。”

据悉,攻击者只在 Orion 内重写了 4032 行代码,而 Orion 由数百万行代码组成。

我认为,这么大规模、处心积虑的攻击行为,背后没有一个严密的组织是不可能的,不过这个规模还是令人吃惊的。

开源 Web 扩展项目中的恶意程序问题

一些广为流传的 Chrome 开源扩展在变更了控制权之后,变成了恶意软件。这包括 The Great Suspender 的所有权在去年 10 月转移给一个未公开身份的人之后,推送了恶意更新,它会下载和执行第三方 JavaScript 脚本,并关闭了自动更新机制,这意味着即使恶意代码移除现有用户仍然会继续使用恶意版本。谷歌最近决定强制移除该恶意扩展。

这样的事情并不鲜见,还包括 uBlock 转移所有权之后,被新的维护者用来牟利和让广告商付费免除屏蔽;Nano Adblocker 和 Nano Defender 也在转移后变成了恶意扩展。

用户往往不会注意也不会得到开源的扩展应用所有权转移的通知,这就为使用开源扩展带来了潜在的风险。因为,谷歌并不会对这些扩展进行事先的人工审查,而用户基于之前的口碑也往往在受到侵害后才可能发现问题。

我认为,这个问题需要得到重视,作为托管这些扩展的谷歌商店,应该建立相应的机制,最起码可以做到明确提醒所有权变更,或对刻意的更新进行更严格的审查。

谷歌在称赞其 Stadia 工作室一周后,关闭了它

谷歌在 2 月 1 日出人意料地宣布,将关闭 Stadia 游戏开发工作室。但这一消息不仅仅是对 Stadia 客户的惊吓,对于 Stadia 开发团队来说更是晴天霹雳。据报道,就在一周前,Stadia 开发团队还被告知,工作室正在取得“巨大的进步”。

据报道,谷歌副总裁、Stadia 总经理哈里森承认,当他发邮件赞扬团队的进展时,谷歌的高管们已经知道关闭的消息了。

我认为,这也太儿戏了,这些领导人说的话都是官样文章,你相信就天真了。