你的开源代码安全吗？中科天齐百万代码缺陷免费预约检测活动震撼来袭！

在过去的几个月里，网络安全领域已成为人们关注的焦点。从Colonial Pipeline攻击到肉类加工公司 JBS遭受的破坏，2021 年似乎是网络犯罪分子嚣张的一年，而且他们并没有放慢脚步。这种上升趋势的一个特别令人担忧的部分是“0 day攻击”的明显增加，这是一种恶意型的网络安全攻击，它利用供应商或开发人员不知道或尚未解决的安全弱点。几个月前，谷歌威胁分析小组发表了一篇博客文章，强调了0 day攻击的增加。研究发现，到2021 年中期，“公开披露的攻击中使用了33个0day 漏洞利用”，比 2020年的总数增加了11个。Verizon的“2021年数据泄露调查报告”强调了企业目前面临的网络安全挑战数量。该报告发现，网络钓鱼和勒索软件攻击“分别增加了11%和6%”。从数据来看，安全形势肯定比以往更加严峻。尽管这些数据看上去让人担忧，但需要注意的前提是，数据泄露事件的披露比以往更加透明，并且媒体也比以往更关注严重泄露的规律性和新闻价值。网络攻击的增加将是网络安全专业人士特别关注的问题。在过去的一年中，我们目睹了犯罪分子越来越积极主动的努力，他们不仅利用漏洞、向企业索要赎金，而且传播他们的勒索软件服务并且利用他们的专业知识。网络犯罪已经“平民化”，恶意软件可以轻易被大众使用。因此，恶意行为者越来越能够针对开发人员尚未解决的安全漏洞。那么，有什么解决办法呢?首先，企业最好采用主动方法来识别和解决漏洞，预防是比治疗更实用的解决方案，保持被动的团队将始终处于后发制人的状态，这就是网络犯罪分子所依赖的实时问题与“太少、太晚”修复之间的脱节。每个大型企业都应该有一个专门的网络安全专业人员团队，他们的重点是识别、修复和修补安全漏洞或缺陷。这些安全工作应该尽可能在开发前期准备。其次，具有安全意识的开发人员团队对于任何组织来说都是隐藏的宝藏。赢得开发人员关注安全性并将安全编码视为代码质量的基础，需要在整个组织范围内承诺将安全放在首位。当整个团队在编写代码时在消除常见漏洞方面发挥积极影响时，还有什么工具能与之竞争?问题在于，多数开发人员认为可以查找代码安全的静态代码检测工具过于麻烦，增加过多的工作量。但随着技术的发展与进步，存在一些安全可信的静态代码检测工具可以在帮助开发人员查找问题的同时保证开发效率，降低修复安全漏洞的成本。根据IBM的一项研究，在发布后的代码中修复漏洞的成本是在开始时发现和修复漏洞的30倍。最后，企业应该强化网络安全意识，做好网络安全诊断，在发生网络安全风险时及时做出响应，减少网络系统受到的损害，同时有利于降低未来的安全风险。中科天齐Wukong(悟空)静态代码检测工具，从源码开始，为您的软件安全保驾护航!软件安全 网络安全的最后一道防线中科天齐公司是在中科院计算技术研究所的大力推动下以中科院计算所国际领先的自主研究成果“软件代码漏洞检测修复平台Wukong(悟空)”为基础组建的高新技术企业 关键词标签：网络安全 静态代码检测 代码安全 安全漏洞

已经发现机会主义威胁行为者积极利用最近披露的跨Windows和Linux的Atlassian Confluence 部署中的一个关键安全漏洞来部署web shell，从而导致在受感染系统上执行加密矿工。在跨Windows和Linux的Atlassian Confluence部署中，机会主义威胁行为者被发现积极利用最近披露的一个关键安全漏洞来部署web shell，从而导致在受感染的系统上执行加密矿工。该漏洞被跟踪为CVE-2021-26084(CVSS 评分：9.8)，涉及 OGNL(对象图导航语言)注入漏洞，可利用该漏洞在Confluence服务器或数据中心实例上实现任意代码执行。趋势科技的研究人员在一份详细介绍该漏洞的技术报告中指出:“远程攻击者可以通过向易受攻击的服务器发送包含恶意参数的精心制作的HTTP请求来利用该漏洞。”“成功的利用可能导致在受影响服务器的安全上下文中任意执行代码。”该漏洞存在于Atlassian Confluence服务器和数据中心的Webwork模块中，其原因是对用户提供的输入验证不足，导致解析器对注入到OGNL表达式中的恶意命令进行评估。在今年8月下旬公开披露该漏洞后，美国网络司令部警告称，在该漏洞公开后，可能会出现大规模的攻击。在趋势科技观察到的一次此类攻击中，发现 z0Miner(一种木马和密码劫持程序)被更新以利用远程代码执行 (RCE) 缺陷来分发下一阶段的有效负载，这些负载作为一个通道，以保持持久性并在机器上部署加密货币挖掘软件。Imperva在一项独立分析中证实了这一发现，发现了旨在运行XMRig加密货币矿工和其他后开发脚本的类似入侵尝试。Imperva、Juniper和Lacework还检测到Muhstik的利用活动。此外，Palo Alto Networks 的 Unit 42 威胁情报团队表示，它识别并阻止了精心策划的攻击，这些攻击旨在上传客户的密码文件以及下载带有恶意软件的脚本来下载矿工，甚至在机器上打开交互式反向shell。Imperva的研究人员表示：就像RCE漏洞经常发生的情况一样，攻击者会迅速利用受影响的系统来获取自己的利益。”“RCE漏洞很容易让威胁行动者利用受影响的系统，通过安装加密货币矿工和掩盖他们的活动，从而滥用目标的处理资源，轻松获取金钱。Atlassian是一个澳大利亚的企业软件公司，设计发布针对软件开发工程师和项目经理的企业软件。Atlassian公司以其产品项目跟踪软件JIRA和团队协同软件Confluence而闻名。由于软件被企业使用，因此软件中的安全漏洞很容易引起供应链攻击，从而给客户造成严重安全影响。随着现在软件供应链模式已成为主流，任何一个软件安全漏洞都可能导致不可计数的企业遭到攻击。数据显示，90%的网络攻击事件都与漏洞利用相关，由此可见安全漏洞在网络攻击中起到至关重要的作用。而企业在软件开发过程中使用静态代码检测工具可以减少30%到70%的安全漏洞，因此随着网络安全形式愈发严峻，为了确保网络安全应从源头代码做好安全检测，以减少软件安全漏洞筑牢网络安全根基。中科天齐Wukong(悟空)静态代码检测工具，从源码开始，为您的软件安全保驾护航!软件安全 网络安全的最后一道防线中科天齐公司是在中科院计算技术研究所的大力推动下以中科院计算所国际领先的自主研究成果“软件代码漏洞检测修复平台Wukong(悟空)”为基础组建的高新技术企业 关键词标签：漏洞利用 网络攻击 软件安全 静态代码检测

最新研究显示，BlackRock移动恶意软件背后的运营商已经通过名为ERMAC的新 Android 银行木马重新浮出水面，该木马针对波兰，其根源是臭名昭著的Cerberus 恶意软件。ThreatFabric首席执行官在一封电子邮件声明中表示：“这款新的木马病毒已经开始了活跃的传播活动，目标是378个有覆盖的银行和钱包应用程序。” 据信，涉及ERMAC的首批活动已于8月下旬以Google Chrome应用程序的名义开始。自那以后，攻击范围扩大到银行、媒体播放器、快递服务、政府应用以及McAfee等杀毒软件。几乎完全基于臭名昭著的银行木马Cerberus，网络安全公司调查发现，一名叫DukeEugene的成员在8月17日在地下论坛发布帖子，邀请潜在客户“以每月3000美元的价格，向一小群人租用一个具有广泛功能的新安卓僵尸网络，。”DukeEugene也被称为BlackRock活动的幕后活动者，该活动于2020年7月曝光。该信息窃取程序和键盘记录程序具有一系列数据窃取功能，起源于另一种名为 Xerxes 的银行变种——它本身就是LokiBot Android银行木马的变种，其作者在2019年5月左右公布了该恶意软件的源代码。2020年9月，Cerberus以免费远程访问木马(RAT)的形式在地下黑客论坛上发布了自己的源代码，此前该开发商的拍卖以10万美元的价格拍卖失败。ThreatFabric还强调，自ERMAC出现以来，BlackRock已停止提供新的样本，这增加了“DukeEugene在其业务中从使用BlackRock转向使用ERMAC的可能性。”除了与Cerberus有相似之处，新发现的毒株还以使用混淆技术和Blowfish加密方案与命令和控制服务器通信而闻名。ERMAC与其前身和其他银行恶意软件一样，旨在窃取联系信息、短信、打开任意应用程序，并触发针对众多金融应用程序的覆盖，以窃取登录凭据。此外，它还开发了新功能，允许恶意软件清除特定应用程序的缓存，并窃取存储在设备上的帐户。研究人员称：“ERMAC的故事再次表明，恶意软件源代码泄漏不仅会导致恶意软件家族的蒸发速度减慢，而且还会为威胁领域带来新的威胁/参与者。” “虽然它缺乏一些强大的功能，比如RAT，但它仍然对全世界的移动银行用户和金融机构构成威胁。”‘金融领域一直广受网络犯罪分子关注，不断出现新恶意软件不但为查杀系统增加难度，而且也为金融业网络安全和数据安全带来很大威胁。为了降低金融行业网络系统的相关风险，企业除了在做好查杀和安全防御措施之外，更应重视在底层软件在技术方面的安全建设。尤其软件安全是网络安全最基础防线，在软件开发过程中重视代码缺陷等问题，利用静态代码检测等自动化技术，加强代码安全建设及漏洞检测，来提升软件自身安全性，为网络安全筑牢根基，从而降低金融机构遭到网络攻击的风险。中科天齐Wukong(悟空)静态代码检测工具，从源码开始，为您的软件安全保驾护航!软件安全 网络安全的最后一道防线中科天齐公司是在中科院计算技术研究所的大力推动下以中科院计算所国际领先的自主研究成果“软件代码漏洞检测修复平台Wukong(悟空)”为基础组建的高新技术企业 关键词标签：恶意软件 数据泄露 静态代码检测 软件安全

威胁行为者正在使用一种在暗网论坛上出售的新恶意软件,来窃取多个游戏平台的帐户，包括Steam、Epic Games Store和EA Origin。卡巴斯基安全研究人员在今年3月发现了这种新型木马，并将其命名为 BloodyStealer,发现它能够收集和窃取大量敏感信息，包括cookie、密码、银行卡以及各种应用程序的会话。这种恶意软件明确地针对游戏平台，如Steam、Epic Games、EA Origin、GOG Galaxy等，因为它可以为运营商获取账户，然后在地下市场出售。卡巴斯基表示，“虽然 BloodyStealer 并非专门用于窃取游戏相关信息，但它可以针对平台明确指出网络犯罪分子对此类数据的需求。”“日志、账户和游戏内商品是一些与游戏相关的产品，在暗网上以有吸引力的价格批量或单独出售。”信息窃取者通过私人渠道出售给地下论坛的VIP会员，订阅模式大约为每月10美元或终身“授权”40美元。BloodyStealer还被营销为带有检测规避和恶意软件分析保护功能。其开发人员描述的完整功能列表包括：从浏览器获取 cookie、密码、表单、银行卡的抓取器窃取有关PC和屏幕截图的所有信息从以下客户端窃取会话：Bethesda、Epic Games、GOG、Origin、Steam、Telegram、VimeWorld从桌面 (.txt) 和 uTorrent 客户端窃取文件从内存中收集日志重复日志保护逆向工程保护在CIS中不起作用用于攻击全球玩家自发现以来，卡巴斯基发现 BloodyStealer 被用于针对来自欧洲、拉丁美洲和亚太地区的受害者的攻击。“BloodyStealer是网络犯罪分子用来渗透游戏市场的高级工具的一个典型例子。凭借其高效的反检测技术和诱人的价格，它肯定会很快与其他恶意软件系列结合使用。”卡巴斯基研究人员补充道。“此外，凭借其有趣的功能，例如提取浏览器密码、cookie 和环境信息以及抓取与在线游戏平台相关的信息，BloodyStealer 提供了从玩家那里窃取数据并在黑暗网络上出售的价值。”虽然卡巴斯基没有分享有关用于传播此恶意软件的攻击媒介的信息，但如果玩家愿意通过欺骗获得胜利或想要进一步修改他们的游戏，他们通常会成为带有恶意软件的改装相关和游戏作弊工具的攻击者的目标。尽管此次发现的恶意软件针对游戏公司进行数据窃取，但并不代表这个带有检测规避能力的恶意软件不会被利用来针对其他行业。数据泄露事件往往伴随着成功的网络入侵和漏洞利用，在这些能逃过安全检测的恶意软件面前，传统的查杀工具已不足以成功拦截其攻击。因此更需要加强软件自身抵御恶意软件入侵的能力，如减少安全漏洞，提高软件自身安全性。尤其在软件开发过程中，使用静态代码检测工具就能查找存在的编码问题和安全问题，为开发人员修改节省大量时间，同时也能将问题修复成本降至较低水平。中科天齐Wukong(悟空)静态代码检测工具，从源码开始，为您的软件安全保驾护航!软件安全 网络安全的最后一道防线中科天齐公司是在中科院计算技术研究所的大力推动下以中科院计算所国际领先的自主研究成果“软件代码漏洞检测修复平台Wukong(悟空)”为基础组建的高新技术企业 关键词标签：数据窃取 恶意软件 数据泄露 软件安全 静态代码检测

在2021年上半年，谷歌以超过547个漏洞位居榜首，微软以432个不希望出现的暴露实例排名第二，甲骨文以316个漏洞排名第三。最新的AtlasVPN 报告分析了当前网络安全环境中的移动安全和常见漏洞。该报告显示，在2021年初，谷歌、微软和甲骨文积累的漏洞数量最多。此外，该报告还透露，2021年上半年发生了互联网历史上规模最大的网络安全入侵事件。该报告基于Telefonica Tech Cyber security Report 2021 H1。勒索软件攻击受害者据 AtlasVPN称，Colonial Pipeline、Kaseya和JBS Foods被证明是毁灭性勒索软件攻击的受害者。鉴于此类攻击的空前增加，微软不得不就云平台固有的安全缺陷警告Azure用户。另一方面，Apple不得不发布iOS 更新以解决NSO Group用来入侵记者iPhone的漏洞问题。此外，SolarWinds攻击对商业和政府实体造成了巨大打击。为谷歌、微软、甲骨文敲响警钟该报告对微软、谷歌和甲骨文这三大科技巨头来说是个坏消息。该报告进一步显示，谷歌在2021年迄今为止发现的漏洞中占据首位，检测到超过547个明显漏洞，危及全球超过30亿Chrome用户。微软以432个不想要的暴露实例位居第二。大多数混乱是由于Microsoft Exchange比其他平台吸收了更多的缺陷和漏洞。Oracle记录了316个漏洞，排在第三位。发现的漏洞数量最多的是Oracle WebLogic Server，它作为开发、部署和运行基于java的企业应用程序的平台，可以为远程攻击者提供访问受影响系统的权限。除此之外，网络硬件公司思科积累了200个漏洞，其次是SAP软件，积累了118个漏洞。报告称，“利用谷歌或微软产品中的漏洞，网络犯罪分子可以探测数百万个系统。虽然科技巨头们在跟踪漏洞和不断更新软件方面做得很好，但个人和企业需要跟上更新，以防止进一步被利用。”科技巨头的软件存在安全漏洞极易造成软件供应链攻击，减少安全漏洞是避免发生软件供应链攻击的有效方式。在软件开发过程中进行静态代码检测，不但可以检查编码规范，还能发现运行时缺陷和安全漏洞，有利于开发人员在保证开发效率的同时，及时修改安全问题，从根源处提高软件自身安全性，为网络抵御恶意软件攻击增加有力防护。中科天齐Wukong(悟空)静态代码检测工具，从源码开始，为您的软件安全保驾护航!软件安全 网络安全的最后一道防线中科天齐公司是在中科院计算技术研究所的大力推动下以中科院计算所国际领先的自主研究成果“软件代码漏洞检测修复平台Wukong(悟空)”为基础组建的高新技术企业 关键词标签：软件安全 安全漏洞 网络攻击 软件供应链安全 代码检测

网络安全研究人员绘制了Jupyter的演变图，Jupyter 是一个 .NET 信息窃取程序，以挑选医疗保健和教育行业而闻名，这使其在击败大多数端点安全扫描解决方案方面表现出色。Morphisec于9月8日发现的新交付链，这强调该恶意软件不仅继续保持活跃，而且还展示了“威胁行为者如何继续发展其攻击以提高效率和规避检测”。这家以色列公司表示，目前正在调查袭击的规模和范围。Jupyter(又名Solarmarker)于2020年11月首次记录，可能起源于俄罗斯，主要针对 Chromium、Firefox 和Chrome浏览器数据，并具有允许完整后门功能的附加功能，包括虹吸信息并将详细信息上传到远程的功能服务器并下载并执行进一步的有效载荷。Morphisec收集的证据表明，从2020年5月开始，多个版本的Jupyter开始出现。2021年8月，思科Talos将此次入侵归咎于“相当老练的行为者，主要专注于凭据和残留信息盗窃”。今年2月初，网络安全公司 CrowdStrike将恶意软件描述为打包了一个多阶段、高度混淆的PowerShell加载程序，导致执行 .NET编译后门。虽然以前的攻击使用了Docx2Rtf和Expert PDF等知名软件的合法二进制文件，但最新的攻击链使用了另一个名为Nitro Pro的PDF应用程序。攻击从部署超过100MB的MSI安装有效载荷开始，允许他们绕过防毒软件引擎检测，并使用第三方应用程序打包向导称为高级安装程序。运行MSI有效载荷导致PowerShell加载程序嵌入到一个合法的Nitro Pro 13二进制文件中，其中两个变体已被观察到使用了属于波兰实际企业的有效证书签名，这表明可能是证书模拟或盗窃。在最后阶段，加载器解码并运行内存中的Jupyter . net模块。Morphisec研究员Nadav Lorber 说：“从我们在2020年首次发现 Jupyter 信息窃取器/后门开始，它的演变证明了威胁行为者总是在创新的说法是正确的。” “VirusTotal对这种攻击的检测仍然很低或没有，这进一步表明威胁行为者逃避基于检测的解决方案的设施。”通过以上结论发现，恶意软件渗入方式日益高明，它们可以轻易躲过传统网络安全产品的检测和防御，进而感染并攻击受害者的网络系统。因此，为了确保网络安全，提高软件自身防御攻击的能力是传统防护手段的重要补充!在软件开发过程中，使用静态代码检测技术不断查找并修复安全缺陷和漏洞，提高软件自身安全性，可以筑牢网络安全防御根基，提高网络抵御恶意软件攻击的能力。中科天齐Wukong(悟空)静态代码检测工具，从源码开始，为您的软件安全保驾护航!软件安全 网络安全的最后一道防线中科天齐公司是在中科院计算技术研究所的大力推动下以中科院计算所国际领先的自主研究成果“软件代码漏洞检测修复平台Wukong(悟空)”为基础组建的高新技术企业 关键词标签：恶意软件 静态代码检测 安全防御 网络安全

网络安全研究人员公布了一项新技术，威胁行动者利用恶意软件有效载荷的畸形数字签名故意逃避检测。谷歌威胁分析集团的Neel Mehta在周四发表的一篇文章中说:“攻击者创建了畸形的代码签名，这些签名被Windows视为有效的，但无法被OpenSSL代码解码或检查——许多安全扫描产品都使用OpenSSL代码。”据观察，这一新机制被一个臭名昭著的、被称为OpenSUpdater的恶意软件家族所利用，该软件被用来在受攻击的系统上下载和安装其他可疑程序。此次行动的主要目标是美国用户，他们喜欢下载破解版的游戏和其他灰色地带软件。这些发现来自于至少自8月中旬以来上传至VirusTotal的一组OpenSUpdater样本。虽然过去的攻击者依靠非法获得的数字证书来偷偷通过恶意软件检测工具窃取广告软件和其他不需要的软件，或者通过毒害软件供应链将攻击代码嵌入到数字签名的可信软件组件中，但OpenSUpdater因其故意使用畸形签名来绕过防御而引人注目。工件使用一个无效的leaf X.509证书进行签名，该证书的编辑方式是SignatureAlgorithm字段的“parameters”元素包含一个内容结束符 (EOC) 标记而不是NULL标记。尽管使用OpenSSL检索签名信息的产品会以无效为由拒绝此类编码，但Windows系统上的检查将允许该文件在没有任何安全警告的情况下运行。“这是TAG第一次观察到参与者使用这种技术来逃避检测，同时在PE文件上保存有效的数字签名，”Mehta称。“Windows可执行文件上的代码签名保证了签名可执行文件的完整性，以及有关签名者身份的信息。攻击者能够在不影响签名完整性的情况下在签名中隐藏自己的身份，从而避免更长的检测，并延长他们的代码签名证书的生命周期，从而感染更多的系统。”从以上看来，软件安全防御系统并非万无一失，随着恶意软件的入侵方式不断进化，传统防御系统在一定程度上形同虚设，这为网络安全增加潜在威胁和风险。习总书记指出，国家安全是安邦定国的重要基石，网络安全和信息化是相辅相成的。安全是发展的前提，发展是安全的保障，安全和发展要同步推进。随着网络环境日益复杂化，网络安全问题无处不在，仅靠传统的“老三样”(杀毒软件、防火墙、入侵检测系统)已难以应对不断进化的网络攻击，因此在软件开发时不断检测并修复代码缺陷减少安全漏洞，是提高网络安全防御能力，减少数据丢失的重要手段!数据显示，90%以上的网络安全问题是由软件自身的安全漏洞被利用导致，因此通过静态代码检测来提高软件自身安全性，已成为新时代抵御网络攻击的又一有效方式。中科天齐Wukong(悟空)静态代码检测工具，从源码开始，为您的软件安全保驾护航!软件安全 网络安全的最后一道防线中科天齐公司是在中科院计算技术研究所的大力推动下以中科院计算所国际领先的自主研究成果“软件代码漏洞检测修复平台Wukong(悟空)”为基础组建的高新技术企业 关键词标签：网络攻击 软件安全 静态代码检测 代码安全

安全研究人员在Microsoft Windows平台二进制表 (WPBT) 中发现了一个漏洞，可以利用这个漏洞在2012年以来发布的所有Windows电脑上安装rootkit。Rootkit是威胁行为者创建的恶意工具，旨在通过深入操作系统来逃避检测，并用于在逃避检测的同时完全接管受感染的系统。WPBT是一个固定的固件ACPI(高级配置和电源接口)表，由微软从Windows 8开始引入，允许供应商在每次设备启动时执行程序。然而，除了使OEM能够强制安装无法与Windows安装介质捆绑的关键软件之外，这种机制还可以允许攻击者部署恶意工具，正如微软在其文档中所警告的那样。微软解释说:“由于该特性提供了在Windows环境中持续执行系统软件的能力，因此，基于wpbt的解决方案尽可能安全、不让Windows用户暴露在可利用条件下变得至关重要。”“特别是，WPBT解决方案不得包含恶意软件(即未经用户充分同意而安装的恶意软件或不需要的软件)。”影响所有运行Windows 8或更高版本的计算机eclipse研究人员发现，自2012年Windows 8首次引入该功能以来，Windows电脑上就存在这一缺陷。这些攻击可以使用各种技术，允许写入ACPI表(包括 WPBT)所在的内存或使用恶意引导加载程序。这可以通过滥用BootHole漏洞绕过安全启动或通过来自易受攻击的外围设备或组件的DMA攻击来实现。Eclypsium研究人员表示：“Eclypsium 研究团队发现了微软WPBT功能的一个弱点，该弱点可能允许攻击者在设备启动时以内核权限运行恶意代码。”“这个弱点可能会通过多种途径(例如物理访问、远程和供应链)和多种技术(例如恶意引导加载程序、DMA 等)被利用。”缓解措施包括使用WDAC政策在Eclypsium告知微软这个漏洞后，微软建议使用Windows防卫应用程序控制策略，允许控制哪些二进制文件可以在Windows设备上运行。“WDAC策略也适用于WPBT中包含的二进制文件，应该可以缓解这个问题，”微软在支持文档中表示。WDAC策略只能在Windows 10 1903及更高版本和Windows 11或Windows Server 2016 及更高版本的客户端版本上创建。在运行较旧Windows版本的系统上，可使用AppLocker策略来控制允许哪些应用在 Windows客户端上运行。Eclypsium安全研究人员补充说：“由于ACPI和WPBT的普遍使用，这些主板级缺陷可以避免像Secured-core这样的计划。”“安全专业人员需要识别、验证和强化其Windows系统中使用的固件。企业需要考虑这些向量，并采用分层的安全方法来确保应用所有可用的修复程序都得到应用，并识别任何对设备的潜在危害。”Eclypsium发现了另一种攻击向量，允许威胁行为者控制目标设备的启动过程，并破坏Dell SupportAssist的BIOSConnect功能中的操作系统级安全控制，该软件预装在大多数戴尔Windows设备上。正如研究人员透露的那样，该问题“影响了129款戴尔型号的消费和商务笔记本电脑、台式机和平板电脑，包括受安全启动和戴尔安全核心PC保护的设备”，大约有3000万台个人设备暴露在攻击之下。软件中的安全漏洞使设备使用者置身危险当中，而对于广泛被应用的软件更可能造成影响严重的软件供应链攻击。随着恶意软件不断提高攻击手段和技术，常用检测软件已很难识别其危害和入侵方式，从而使网络攻击者可以通过安全漏洞轻易发起攻击。减少软件安全漏洞从而提高网络安全防御能力，已成为网络安全领域广泛共识。尤其在软件开发过程中，通过静态代码检测可以帮助开发人员减少30%-70%的安全漏洞，从根源加强软件防御能力，大大降低遭到网络攻击的风险。中科天齐Wukong(悟空)静态代码检测工具，从源码开始，为您的软件安全保驾护航!软件安全 网络安全的最后一道防线中科天齐公司是在中科院计算技术研究所的大力推动下以中科院计算所国际领先的自主研究成果“软件代码漏洞检测修复平台Wukong(悟空)”为基础组建的高新技术企业 关键词标签：安全漏洞 网络攻击 源代码检测 软件安全