2019年3月25日,安全厂商卡巴斯基公开披露了针对华硕(ASUS)升级服务的供应链攻击活动。该攻击活动主要活跃时间为2018年6月至11月之间,受影响的是华硕更新程序Live Update,该程序预装在大多数华硕品牌计算机上 。攻击者通过华硕的升级服务器下发被污染的Live Update升级程序,受污染的升级程序带有正常的华硕签名。已知安装了该恶意更新程序的用户超过百万,虽然该攻击活动只针对特定MAC地址的用户,但攻击者通过更新升级程序可以攻击所有受影响用户,导致用户计算机被攻击者完全控制。这类来源于供应链并最终造成巨大危害的安全事件其实并不少见,在本报告中,360威胁情报中心对软件供应链的概念进行了梳理,分析了各环节中已有的事件实例,最后提供一些从供应链安全角度对威胁进行防护的对策和建议。