Атаки на цепочку поставок: DevSecOps защитит разработку
Исследователи из Socket выявили атаку на цепочку поставок, связанную с мимикрией (клонированием) популярных библиотек Node.js. Эти библиотеки широко используются во множестве приложений, что делает их привлекательными для злоумышленников. Это подчёркивает необходимость внедрения решений, таких как SafeERP, для реализации процесса безопасной разработки — DevSecOps.
Руководитель лаборатории исследований кибербезопасности «Газинформсервис» Вадим Матвиенко предупреждает, что атаки на цепочку поставок остаются самыми популярными и для минимизации рисков в разработке программного обеспечения организациям следует внедрять подходы DevSecOps, интегрируя безопасность на всех этапах жизненного цикла.
«Атаки на цепочку поставок остаются одним из самых распространённых методов, используемых злоумышленниками. Популярные библиотеки Node.js, например chokidar и chalk, были использованы для создания различных ресурсов и приложений, таких как Microsoft Visual Studio Code, Gulp, Karma, Webpack. Они упрощают разработку, улучшая пользовательский опыт и обеспечивая удобство в процессе. Однако недавний случай с мимикрией (клонированием) этих популярных библиотек с вредоносным кодом представляет серьёзную угрозу для компаний по всему миру. Чтобы минимизировать риски при разработке программного обеспечения, необходимо выстроить процесс безопасной разработки — DevSecOps. Одним из мощных инструментов для его реализации является программный комплекс SafeERP от компании "Газинформсервис"», — подчеркнул Вадим Матвиенко.
Киберпреступники стали использовать сеть доставки контента Webflow для распространения поддельных PDF-документов, направленных на кражу данных банковских карт.
В архиваторе WinZip нашли опасную уязвимость, позволяющую удалённо выполнить произвольный код на устройстве. Киберэксперт Михаил Спицын рассказал, как обнаружить вредоносный файл.
Шесть из десяти компаний по всему миру ожидают серьёзный инцидент кибербезопасности уже в следующем году. К такому выводу пришли аналитики Zscaler в своём новом исследовании, предупреждая, что компании переоценивают свою защищённость. Киберэксперт, аналитик L2 GSOC компании «Газинформсервис» Андрей Жданухин, призывает бизнес обратить внимание на решения класса SOC.
Исследователи Elastic Security Labs обнаружили новую кибератаку с использованием мощного бэкдора FINALDRAFT. Новый бэкдор атакует госучреждения и компании по всему миру. Жертвами атаки стали внешнеполитическое ведомство одной из стран Южной Америки, телекоммуникационная компания и университет в Юго-Восточной Азии. Это демонстрирует широкий географический охват и разнообразие целей злоумышленников.
Нехватка адаптированных решений и необходимость интеграции с существующей инфраструктурой — ключевые препятствия для российских компаний при переходе на отечественные решения кибербезопасности. Согласно исследованию «СёрчИнформ», лишь 2% российских организаций полностью перешли на отечественные операционные системы и базы данных.
В каталоге KEV — справочнике уязвимостей, которые активно используются хакерами по всему миру, — обнаружена критическая уязвимость (CVE-2025-0994) в Trimble Cityworks. Это программное обеспечение, широко используемое муниципальными службами, коммунальными предприятиями и инфраструктурными организациями для управления активами и рабочими процессами.
Зарубежные эксперты заявляют, что платформа для интернет-магазинов Magento стала жертвой атаки с использованием скимминга кредитных карт. Виновником этого стал вредоносный скрипт, внедрённый в бесплатный диспетчер тегов от компании Google — Google Tag Manager (GTM).
