Новости: цепочка поставок

Роботы Honor заняли первые шесть мест на полумарафоне в Пекине Ичжуан. Глубокий анализ китайской цепочки поставок — от GigaDevice до Rainbow Technologies — обеспечившей этот прорыв. — pandaily.com

Группа TeamPCP провела крупную атаку на цепочку поставок, скомпрометировав 170 пакетов npm и PyPI, включая всю экосистему TanStack Router. Атака использовала уязвимости GitHub Actions и вредоносное ПО Mini Shai-Hulud. — csoonline.com

В апреле были проанализированы три отчета об угрозах: кампания КНДР с вредоносными пакетами, заражение IDE через бинарник Zig и компрометация цепочки поставок через сканер уязвимостей. Общий вывод: рабочие станции разработчиков — главная цель для доступа. — csoonline.com

Microsoft заявляет, что злоумышленники скомпрометировали пакет mistralai PyPI вредоносным ПО, которое выполнялось при импорте, в то время как исследователи связывают связанные компрометации npm, затронувшие TanStack и SDK Mistral, с более широкой кампанией по компрометации цепочки поставок «Mini Shai-Hulud». — tomshardware.com

Вредоносный репозиторий Hugging Face, маскировавшийся под релиз OpenAI, доставил infostealer в Windows и набрал 244 тыс. загрузок. Инцидент выявил риски в цепочке поставок ИИ и неэффективность традиционных средств защиты. — csoonline.com

Сайт популярного менеджера загрузок JDownloader был скомпрометирован для распространения вредоносных установщиков Windows и Linux, содержащих троян удаленного доступа на Python. Атака затронула пользователей, скачавших ПО 6-7 мая 2026 года. Рекомендуется переустановка ОС. — bleepingcomputer.com

Через месяц после того, как хакеры использовали сайт CPU-Z для распространения вредоносного ПО, был взломан сайт другого популярного приложения и использован для распространения малвари. — neowin.net

Злоумышленники адаптируют атаки на цепочки поставок для нацеливания на ИИ-агентов по кодированию, которые автономно сканируют NPM и PyPI. Появляются приманочные пакеты с убедительными описаниями, а также атаки, использующие галлюцинации LLM. — csoonline.com

SBOM для ИИ (AI-BOM) — новый инструмент для обеспечения безопасности цепочек поставок в условиях широкого использования ИИ. “Если у вас нет видимости, вы не можете понять, что нужно защищать”. — theregister.com

Атака на цепочку поставок, нацеленная на npm-пакеты, связанные с SAP, привлекла внимание к инструментам разработки. Кампания «mini Shai-Hulud» затронула экосистему SAP, похищая учетные данные разработчиков, токены и секреты облачных сред. — csoonline.com