supply chain

Pakiet dnsub-scanning-tool wyglądał jak setki innych narzędzi publikowanych w rejestrze modułów Go, czyli niewielki skaner DNS i subdomen, jaki deweloperzy instalują bez wahania. Firma Socket prześledziła jego historię wstecz i trafiła na coś znacznie ważniejszego, sieć kont i repozytoriów na GitHubie, zaprojektowaną tak, aby wyglądać na aktywną i wiarygodną. Operacja, którą badacze nazwali Muck and Load, ciągnie się od stycznia i wciąż się rozrasta.

Deweloper patrzy na kod i widzi pustą linię. Narzędzie do statycznej analizy potwierdza, że jest czysto. Tymczasem w tej pozornej pustce siedzi kompletny złośliwy ładunek, niewidoczny dla ludzkich oczu, w pełni czytelny dla interpretera JavaScript. Kampania GlassWorm uderzyła w open source z ogromnym rozmachem, i po raz kolejny pokazała, że tradycyjny przegląd kodu ma ślepą plamkę, którą atakujący potrafią eksploatować na przemysłową skalę.

Media na Tajwanie eksplodowały doniesieniami o kolejnym spotkaniu Jensena Huanga z czołówką lokalnych producentów technologicznych. To już czwarte tego typu wydarzenie w tej samej restauracji serwującej tradycyjną kuchnię tajwańską, gdzie CEO NVIDIA gości przedstawicieli firm odpowiedzialnych za globalną infrastrukturę AI. Dla obserwatorów branży to jednak znacznie więcej niż uprzejma kolacja biznesowa. To dowód na unikalną strategię zarządzania łańcuchem dostaw.