Como se chama esse tipo de ataque, que chega ao alvo por meio de um fornecedor ou dependência confiável?

Um ataque à cadeia de suprimentos funciona comprometendo um fornecedor confiável, de modo que um código malicioso 'pega carona' dentro de algo que os clientes já confiam, como uma atualização de software de rotina. No caso da SolarWinds, os invasores inseriram código contaminado em atualizações legítimas, que foram então instaladas automaticamente por milhares de organizações no mundo todo, dando aos hackers uma porta de entrada em redes que não tinham motivo algum para desconfiar do fornecedor de confiança.

Um ataque de negação de serviço inunda um sistema de tráfego para tirá-lo do ar, um objetivo bem diferente de se infiltrar silenciosamente em redes por meio de uma atualização confiável. Um ataque de força bruta simplesmente tenta adivinhar senhas repetidamente até acertar, também sem relação com esconder malware dentro de software legítimo.

O incidente da SolarWinds ajudou a popularizar a 'lista de materiais de software', essencialmente uma lista de ingredientes que revela cada componente e dependência dentro de um aplicativo, para que organizações consigam identificar riscos escondidos nas profundezas de sua cadeia de suprimentos de software.