典型软件供应链攻击行为有哪些

典型软件供应链攻击行为有以下这些：

• 污染软件开发工具及编译过程，添加后门、捆绑恶意软件等，在XcodeGhost事件中，超过4000个iOSAPP是用被污染的XCode所开发，并在编译过程中被植入恶意代码，受制于国际带宽的影响，此下载速度非常缓慢，黑客正是利用这一点，将被污染的XCode上传到国内各种服务器并推广下载链接，让很多开发者猝不及防。

• 直接污染代码，添加后门，XShell被发现植入了后门代码，并经过官方的代码签名，可导致使用该工具的用户泄露所管理的主机敏感信息；据分析，黑客极有可能入侵了相关开发人员的电脑。

• 污染社区软件源，误导用户下载恶意的开源组件，并使用在生产环境，很多软件源实际上并没有一个官方组织对其负责，常见的如Python的pip源、npm源等，都是人人可以上传的社区源。

• 入侵官方网站，替换官方软件或升级包。黑客通过入侵官方的web服务器将原有的官方软件或者其补丁修改为木马程序，或者其他一些恶意病毒，当受害者下载时会将这些恶意病毒下载执行。

• 黑客向正常的开源组件贡献恶意代码，寻求合入主分支，或者尝试向那些没有精力维护开源组件的原作者索取控制权。