原标题：软件供应链攻击再起，微软：小心安装PDF编辑器却让挖矿软件上身
微软安全团队在本周揭露了一场针对软件供应链的攻击行动，骇客开采了PDF编辑器安装流程中的漏洞，窜改安装时所需下载的MSI字形套件，并植入挖矿程式。微软也向外界示警：软件供应链已受到骇客的青睐而成为高风险领域。
这起攻击行动是因遭到微软安全防护服务Windows△Defender△ATP拦截而引起研究人员的注意。在这起事件中，骇客建立了一个仿冒PDF编辑器之软件合作伙伴的伺服器，还复制与代管该软件合作伙伴所提供的所有MSI档案，接着窜改其中作为亚洲字体套件的MSI档案，植入可用来开采门罗币的挖矿程式。
手法示意图（来源：微软）
在架好自己的仿冒伺服器之后，骇客利用软件供应链中的缺陷，影响了PDF编辑器的下载参数，以在安装编辑器时把MSI档案的下载连结指向骇客伺服器，把挖矿程式送进使用者电脑上。
微软并未公布该PDF编辑器的名称，只说它是Adobe△Acrobat△Reader的替代程式，也是此波攻击的受害者，其程式Installer仍是合法且完整的。不过，目前微软尚不确定骇客所利用的缺陷，仅说不太像是MITM或DNS挟持，但警告该软件合作伙伴的其它客户极有可能也会受到波及。
根据Windows△Defender△ATP团队的分析，骇客所使用的网域名称是在2015年于乌克兰所注册的，攻击行动现身于今年的1月到3月间。
事实上，从去年迄今便已出现多起利用软件供应链的攻击行动，例如有一文字编辑软件的更新被植入了后门，骇客也在一报税软件的更新程序中嵌入Petya勒索程式， CCleaner也曾出现后门版，今年初骇客还借由BT用户端程式MediaGet散布挖矿程式，估计去年至少有7起的软件供应链攻击，微软则预期该趋势将日益增长。
对骇客而言，供应链攻击的好处显而易见，从供应链下手可一次掳获众多的受害者，可影响各种软件及领域，为软件开发者、系统管理员与资安社交必须共同解决的问题。
相关：
图片来源: Google 继苹果6月明令禁止挖矿软件后，Google周四也公布更新Google△Play开发商管理政策，不再允许MinerGate、Crypto△Miner和NeoNeonMiner等挖矿软件的存在。根据最新规定，Google禁止app在Android装置上
Fintech周报第61期：社交软件 Pay首次在海外释股，台北富邦、联邦银行共投资超过47亿元
社交软件 Pay于25日宣布接受北富银、联邦银的股权投资案，两家银行共投资逾47亿元，而这也是社交软件 Pay首次在海外释股。 07/21-07/27?社交软件 Pay???北富银???联邦银??社交软件 Pay首次在海外释股，台北富邦、联
微软10月起将调涨Office 2019及企业版Windows 10价格
示意图，与新闻事件无关。 图片来源: 微软 微软周四宣布将自10月1日起调涨企业及伺服器版Office△2019，以及部份Windows△10企业授权价格。自10月1日起，本地部署版（on-premise）Office△2019将调涨10%，受影响用
社交软件 Financial筹备处今正式成立，除揭露三大金融发展目标，也要招揽法遵、金融和懂消费者行为的人才
图片来源: 摄影／王若朴 社交软件台湾今（26日）宣布台湾连线金融科技股份有限公司（社交软件 Financial）筹备处正式成立，计划申请纯网银执照，同时揭露三大金融方向，包括加速普惠金融推广、扩大金融产业生态圈和促
【Next旧金山直击】进军企业混合云架构，Google云端GKE落地推出软件版，可部署于企业机房
【Next旧金山现场直击】Goolge开始用新策略抢攻企业混合云需求，将GCP云端的GKE服务（Google△Kubernetes△Engine，K8s代管服务），打包成可部署于企业机房的K8s软件GKE△On-Prem，目前是Alpha版本。Google在今天Nex