تمام نوشته‌های برچسب‌خورده با "حمله زنجیره تامین"
محققان امنیت سایبری یک حمله زنجیره تأمین جدید را کشف کرده‌اند که در آن بسته‌های قانونی در مخازن npm و Python Package Index (PyPI) به خطر افتاده و نسخه‌های مخرب برای سرقت اعتبارنامه‌های کیف پول و اجرای کد از راه دور منتشر شده‌اند. نسخه‌های به خطر افتاده این دو بسته عبارتند از: @dydxprotocol/v4-client-js (npm) - 3.4.1، 1.22.1، 1.15.2، 1.0.31 و
زیرساخت به‌روزرسانی آنتی‌ویروس eScan، یک راهکار امنیتی توسعه‌یافته توسط شرکت امنیت سایبری هندی MicroWorld Technologies، توسط مهاجمان ناشناس به خطر افتاده و یک دانلودر پایدار را به سیستم‌های سازمانی و مصرف‌کننده تحویل داده است. به‌روزرسانی‌های مخرب از طریق زیرساخت قانونی به‌روزرسانی eScan توزیع شدند که منجر به استقرار بدافزار چندمرحله‌ای در سیستم‌های سازمانی گردید.
محققان امنیت سایبری جزئیات یک حمله زنجیره تامین را که هدف آن رجیستری Open VSX بود افشا کرده‌اند که در آن مهاجمان ناشناس منابع یک توسعه‌دهنده قانونی را به خطر انداخته و به‌روزرسانی‌های مخرب را برای کاربران نهایی منتشر کردند. در تاریخ ۳۰ ژانویه ۲۰۲۶، چهار افزونه معتبر Open VSX منتشر شده توسط نویسنده oorzc، نسخه‌های مخربی را در Open VSX منتشر کردند که بدافزار GlassWorm را جاسازی کرده بودند.
آژانس امنیت سایبری و امنیت زیرساخت‌های ایالات متحده (CISA) روز پنجشنبه چهار نقص امنیتی را به کاتالوگ آسیب‌پذیری‌های شناخته‌شده مورد سوءاستفاده (KEV) خود اضافه کرد و به شواهدی از سوءاستفاده فعال در محیط واقعی اشاره نمود. فهرست آسیب‌پذیری‌ها به شرح زیر است - CVE-2025-68645 (امتیاز CVSS: 8.8) - یک آسیب‌پذیری PHP remote file inclusion در Synacor Zimbra Collaboration Suite (ZCS) که می‌تواند به مهاجم اجازه دهد
Trust Wallet روز سه‌شنبه فاش کرد که دومین موج شیوع زنجیره تامین Shai-Hulud (معروف به Sha1-Hulud) در نوامبر ۲۰۲۵ احتمالاً مسئول هک افزونه گوگل کروم آن بوده و در نهایت منجر به سرقت تقریباً ۸.۵ میلیون دلار دارایی شده است. اسرار GitHub توسعه‌دهنده ما در این حمله افشا شد که به مهاجم دسترسی به کد منبع افزونه مرورگر ما را داد.
نوشته‌های ویژه
محققان امنیت سایبری جزئیات آنچه به نظر می‌رسد نوع جدیدی از Shai Hulud در رجیستری npm با تغییرات جزئی نسبت به موج قبلی که ماه گذشته مشاهده شد باشد را افشا کرده‌اند. پکیج npm که این نوع جدید Shai Hulud را در خود جای داده "@vietmoney/react-big-calendar" نام دارد که در مارس ۲۰۲۱ توسط کاربری به نام "hoquocdat" به npm آپلود شده است و برای اولین بار به‌روزرسانی شد
آسیب‌پذیری ASUS Live Update با شناسه CVE-2025-59374 در فیدهای امنیت اطلاعات منتشر شده و برخی تیترها حاکی از سوءاستفاده اخیر یا جاری هستند. با این حال، بررسی دقیق‌تر نشان می‌دهد که این CVE یک حمله تاریخی به زنجیره تأمین در یک محصول نرم‌افزاری منقضی شده (EoL) را مستند کرده است، نه یک حمله جدید.
104آژانس امنیت سایبری و امنیت زیرساخت‌های ایالات متحده (CISA) روز چهارشنبه یک آسیب‌پذیری بحرانی که ASUS Live Update را تحت تأثیر قرار می‌دهد، به کاتالوگ آسیب‌پذیری‌های شناخته‌شده بهره‌برداری‌شده (KEV) خود اضافه کرد و به شواهد بهره‌برداری فعال اشاره نمود. این آسیب‌پذیری که با شناسه CVE-2025-59374 (امتیاز CVSS: 9.3) ردیابی می‌شود، به عنوان یک "آسیب‌پذیری کد مخرب تعبیه‌شده" توصیف شده است که از طریق یک سازش زنجیره تأمین معرفی شده است.
100در اوایل دسامبر ۲۰۲۵، محققان امنیتی یک کمپین جرایم سایبری را افشا کردند که به‌طور مخفیانه افزونه‌های محبوب مرورگرهای Chrome و Edge را در مقیاس گسترده هک کرده بود. گروه تهدید ShadyPanda هفت سال بازی بلندمدت انجام داد، افزونه‌های بی‌ضرر منتشر یا خریداری کرد، آنها را سال‌ها به‌صورت پاک اجرا کرد تا اعتماد جلب و میلیون‌ها نصب کسب کند، سپس ناگهان آنها را تبدیل به ابزار مخرب نمود.
محققان امنیت سایبری یک بسته مخرب Rust کشف کرده‌اند که قادر به هدف قرار دادن سیستم‌های Windows، macOS و Linux است و دارای قابلیت‌های مخربی برای اجرای مخفیانه روی دستگاه‌های توسعه‌دهندگان با جعل هویت به عنوان ابزار کمکی واحد ماشین مجازی اتریوم (EVM) می‌باشد. این کریت Rust با نام "evm-units" در اواسط آوریل ۲۰۲۵ توسط کاربری به نام "ablerust" به crates.io آپلود شده است.
