​​​​​Google: SolarWinds-Angreifer sollen iOS-0-Day-Lücke verwendet haben
#Exploit #LinkedIn #Sicherheit #SupplyChainAttack #iOS #iPhone #solarwinds

Die mutmaßlich aus Russland stammenden Hacker nutzten eine auch in neueren iPhones steckende Lücke – der Schadcode kam über LinkedIn-Links․

​​​​​heise-Angebot: Supply Chain Security: Jetzt noch Frühbucherrabatt für den Thementag sichern
#Log4j #Sicherheit #Softwareentwicklung #SupplyChain #SupplyChainAttack #solarwinds

Die halbtägige Online-Veranstaltung am 26․ April beschäftigt sich mit den Schwachstellen in der Softwarelieferkette und Maßnahmen, um sie abzusichern․

​​​​​Npm-Schwachstelle "Package Planting": Vertrauen ist gut, Kontrolle ist besser
#Aquasec #GitHub #SupplyChainAttack #npm #paketmanager

Eine als Package Planting bezeichnete Sicherheitslücke im Paketmanager npm erlaubte laut Aquasec, die Vertrauenswürdigkeit bekannter Maintainer zu missbrauchen․

​​​​​Verwirrung um vermeintlichen Dependency-Confusion-Angriff auf deutsche Firmen
#JFrog #JavaScript #Snyk #SupplyChainAttack #npm

Ein scheinbar bösartiger Supply-Chain-Angriff auf vier Firmen hat sich als Penetrationstest herausgestellt, zeigt aber die anhaltende Gefahr der Attacken․

​​​​​Assured OSS: Google verspricht sichere Open-Source-Software
#Google #GoogleCloud #OpenSource #Sicherheit #Softwareentwicklung #SupplyChainAttack

Der neue Service Assured Open Source Software liefert Pakete, die Google ausgiebig getestet hat und im eigenen Entwicklungsprozess verwendet․

​​​​​Schwachstelle in der API von Travis CI legt sensible Nutzerdaten offen
#Aquasec #GitHub #SupplyChainAttack #npm #paketmanager

Laut Aquasec eröffnet eine Sicherheitslücke in der kostenfreien Version des CI/CD-Tools Travis CI Angreifern den Zugriff auf Tokens, Nutzerdaten und Passwörter․

​​​​​heise-Angebot: secIT Digital: Gut gerüstet gegen Supply-Chain-Angriffe
#Cybercrime #ITSecurity #LieferkettenAngriff #SupplyChainAttack #secIT

Im September findet die IT-Security-Konferenz secIT in digitaler Form statt․ Neben redaktionell ausgewählten Fachvorträgen gibt es auch vertiefende Workshops․

​​​​​Vorbereitung auf Krypto-Miner-Angriff: Hunderte verdächtige Pakete auf npm
#KryptoMining #Kryptowährung #SupplyChainAttack #npm #paketmanager

Auf dem Paketmanager wurden über 1000 Pakete automatisiert erstellt, die einen Supply-Chain-Angriff vorbereiten könnten․

​​​​​Russische Hackergruppe soll deutsche Energieversorger aufs Korn genommen haben
#Eon #EnBW #Energie #FSB #Hacking #KritischeInfrastrukturen #Russland #Sicherheit #Spearphishing #SupplyChainAttack #WateringHole

Laut einem Bericht hat der Generalbundesanwalt Haftbefehl gegen einen russischen Hacker erwirkt, der unter anderem deutsche Energieversorger im Visier hatte․

​​​​​heise-Angebot: secIT Digital: "Lessons learned" – so reagiert man effektiv auf IT-Attacken
#Cyberangriff #Cyberwar #IncidentResponse #Sicherheit #SupplyChainAttack #secIT

Die Security-Konferenz secIT findet im September digital statt․ Viele Themen sind von den heise-Redaktionen handverlesen․ Jetzt kostenloses Ticket sichern․

​​​​​Paketmanager RubyGems․org: Multifaktor-Authentifzierung Pflicht für Top-Pakete
#MFA #PyPi #Ruby #RubyGems #SupplyChainAttack #npm #paketmanager

Mit der Umstellung auf Multifaktor-Authentifizierung für die Top-Downloads folgt der Ruby-Paketmanger den Vorbildern npm und PyPI․

​​​​​Google erweitert Bug-Bounty-Programm, um Lieferketten-Angriffe vorzubeugen
#BugBounty #Google #LieferkettenAngriff #LinuxundOpenSource #Sicherheit #SupplyChainAttack

Ab sofort können sich Sicherheitsforscher in Open-Source-Anwendungen von Google und Drittanbietern austoben, um Lücken auszusieben․ Dafür winken Geldprämien․