安全本周要闻：危险蠕虫正在吞噬软件包

此外：调查显示美国科技公司据称帮助中国构建全面监控国家，Scattered Spider黑客组织又有两名 alleged 成员被捕。

“沙虫"蠕虫正在吞噬数百个软件包

网络安全界带着日益增长的沮丧目睹了大量软件供应链攻击，黑客将其代码隐藏在合法软件中，悄无声息地传播到全球每个使用该代码的系统。近年来，黑客甚至尝试将一个软件供应链攻击与另一个连接起来，在其受害者中找到第二个软件开发目标，以危害另一个软件并启动新一轮感染。

本周看到了这些策略的一个新的令人担忧的演变：一个完全成熟的自复制供应链攻击蠕虫。

该恶意软件被命名为"Shai-Hulud”，取自科幻小说《沙丘》中弗里曼人对巨型沙虫的称呼（也是恶意软件在其Github页面上发布受害者被盗凭证的名称），已经危害了代码存储库Node包管理（NPM）上的数百个开源软件包，被JavaScript开发人员使用。沙虫蠕虫被设计为感染使用这些软件包之一的系统，然后在该系统上寻找更多NPM凭证，以便能够破坏另一个软件包并继续传播。

据一项统计，该蠕虫已传播到180多个软件包，包括网络安全公司CrowdStrike使用的25个，尽管CrowdStrike后来已将它们从NPM存储库中移除。网络安全公司ReversingLabs的另一项统计数字要高得多，超过700个受影响的代码包。这使得沙虫成为历史上最大的供应链攻击之一，尽管其大规模凭证窃取的意图仍远未明确。

美国科技公司如何帮助构建中国的全景监控

西方隐私倡导者长期以来一直将中国的监控系统视为如果科技行业和政府数据收集不受控制，美国等国家可能面临的潜在反乌托邦。但一项广泛的美联社调查强调，中国的监控系统据称很大程度上是建立在美国技术之上的。美联社记者发现证据表明，中国的监控网络——从北京官员用来审查互联网和打击 alleged 恐怖分子的"金盾"警务系统，到用于针对、跟踪并经常拘留维吾尔族和中国新疆地区的工具——似乎是在美国公司的帮助下构建的，包括IBM、戴尔、思科、英特尔、英伟达、甲骨文、微软、赛默飞世尔、摩托罗拉、亚马逊网络服务、西部数据和惠普。在许多情况下，美联社发现这些西方公司专门向中国警察和国内情报服务机构提供监控应用和工具的中文营销材料。

Scattered Spider黑客组织两名 alleged 成员被捕

Scattered Spider是一个罕见的基于西方国家的黑客和勒索网络犯罪团伙，多年来在互联网上释放了一系列混乱，攻击目标从美高梅度假村和凯撒宫到英国的玛莎百货 grocery 连锁店。现在，该 notorious 组织的两名 alleged 成员在英国被捕：19岁的Thalha Jubair和18岁的Owen Flowers，两人均被指控黑客攻击伦敦交通局运输系统——据称造成超过5000万美元的损失——以及其他许多目标。仅Jubair一人就被指控针对47个组织的入侵。这些逮捕只是针对Scattered Spider的一系列突袭中的最新行动，尽管该组织几乎不间断地持续进行入侵。Noah Urban因与Scattered Spider活动相关的指控被定罪，他从监狱向彭博商业周刊发表讲话，讲述了他的网络犯罪生涯。21岁的Urban已被判处十年监禁。

其他安全新闻

• 国土安全部使用的一个配置错误的平台使敏感的国家安全信息——包括与监视美国人相关的数据——暴露在外，可供数千人访问
• 俄罗斯在 NATO 边界附近进行了 conspicuous 的军事演习，测试高超音速导弹，在该地区 stoking 紧张局势
• 骗子有一种发送垃圾短信的新工具，称为"SMS blasters"，可以每小时发送多达10万条短信，同时规避电信公司的反垃圾邮件措施
• 微软Entra ID身份和访问管理系统中的一对漏洞（已修补）可能被利用来访问几乎所有的Azure客户账户——一个潜在的灾难性灾难
• WIRED发布了一份关于获取和使用 burner phone 的详细指南，以及比普通手机更私密但不像真正 burner phone 那样劳动密集的替代方案