Вашингтон солгал, заявив о шпионских закладках в оборудовании Huawei и ZTE

Вашингтон солгал, заявив о шпионских закладках у Huawei и ZTE

Вашингтон солгал, заявив о шпионских закладках у Huawei и ZTE

Reuters сообщает, что американский Комитет по безопасности при Палате Представителей США провел 1,5-годовое расследование деятельности китайских производителей сетевого оборудования и не выявил каких-либо реальных доказательств, говорящих о наличии шпионских функций в продуктах компаний Huawei и ZTE, а также не нашел прямых улик, говорящих о сотрудничестве компаний с китайской военной разведкой.

И тем не менее, официальный Вашингтон на позапрошлой неделе все-таки заявил, что продукты ZTE и Huawei представляют собой угрозу американской безопасности и их нужно исключить из системы госконтрактов. Бизнесу в США также было рекомендовано отказаться от продуктов этих компаний.

Тем не менее, два анонимных источника Reuters в правительстве США заявили, что "некоторые члены правительства очень хотели, чтобы доказательства шпионажа были найдены". "Если бы такие доказательства были в реальности, то мы бы их выявили", - заявил источник.

Эти же источники независимо друг от друга заявили, что несмотря на вопиющую нехватку доказательной базы, Вашингтон поспешил заявить об опасности продуктов ZTE и Huawei. "Китай - это известный по всему миру кибершпион, и Huawei c ZTE не смогли убедить нас в их непричастности к этой сети. Американский бизнес должен использовать решения других вендоров", - заявил ранее в этом месяце глава Комитета по безопасности при Палате Представителей Майк Роджерс.

Сами компании заявили, что несогласны с решениями, которые базируются на "лживых данных и субъективных оценках".

Анонимные источники Reuters говорят, что те самые "серьезные подозрения" о которых заявляли чиновники в Вашингтоне - это не более чем баги в программном обеспечении. В целом же, внутреннее расследование не выявило не только связи ZTE и Huawei с китайской разведкой сейчас, но и не установило таких фактов в прошлом, передает cybersecurity.ru.

Комитет по разведке, говорят источники, сделал общие рекомендации на основе того, что случаи шпионажа могли бы быть возможны лишь теоретически и лишь в том случае, если продукты Huawei и ZTE использовались бы повсеместно, а также в том случае, если бы официальный Пекин начал оказывать давление на двух производителей.

Американская пресса, в частности Washington Post, отмечает, что в докладе озвученном публично американскими политиками содержатся целые абзацы из внутреннего документа американской Cisco Systems, которая в докладе для внутреннего использования заявляла о конкурентной опасности продуктов китайских компаний.

Во время слушаний в Комитете по разведке старший вице-президент ZTE по США и Европе Чжу Дзыньюн заявил, что американское подразделение ZTE - это с юридической точки зрения 100% американская компания. Отвечая на вопрос о том, предоставляла ли ZTE когда-либо по запросу китайского правительства доступ к своему оборудованию, Чжу заявил: "Решительно нет! Китайское правительство никогда не делало таких запросов. А если бы и делало, то ZTE была бы связана американскими законами".

Huawei также отрицала связь с официальным Пекином, заметив, что лишь поставляла оборудование для государственных ведомств КНР.

В официальном же заявлении Вашингтона говорилось, что программное обеспечение Huawei "пронизано дырами", которые потенциально могут быть использованы для шпионажа. Независимые эксперты в общении с Reuters признали, что в среднем баги в приложениях Huawei находят в пять раз чаще, чем в конкурирующих разработках Cisco, однако далеко не все баги - это возможность для шпионажа. "Те дефекты, что были нами обнаружены, скорее всего, появились в результате небрежного написания кода. Это может говорить об опасности этих продуктов, но было бы неверно говорить, что они являются лазейками для китайских правительственных шпионов. В конце концов, воспользоваться этими багами может кто угодно", - заявил источник в Вашингтоне.

Вредоносов в open source стало почти в 12 раз больше за два года

Эксперты компании «Информзащита» заявили о резком росте числа вредоносных программ в экосистемах софта с открытым исходным кодом. По их данным, за последние два года количество таких случаев увеличилось почти в 12 раз, причём основной всплеск пришёлся уже на начало 2026 года — на этот период пришлось более 80% всех зафиксированных инцидентов.

Параллельно растёт и практический эффект для бизнеса. Как отмечают исследователи, уже более половины компаний сообщили, что находили в своих цепочках поставки ПО подозрительные или подтверждённо вредоносные сторонние пакеты.

Причина, по сути, лежит на поверхности: современная разработка слишком сильно завязана на внешние компоненты. По оценке экспертов, доля опенсорс-кода в корпоративных приложениях сегодня может достигать 70–90%. А это значит, что вместе с несколькими прямыми зависимостями в проект часто приезжают ещё сотни транзитивных — и вся эта конструкция становится всё менее прозрачной и всё более сложной для контроля.

На этом фоне злоумышленники всё активнее действуют через доверие к экосистеме. Один из главных сценариев — компрометация аккаунтов разработчиков и мейнтейнеров пакетов. По данным «Информзащиты», в 2025 году число атак через захват таких учётных записей выросло более чем в 12 раз год к году. После этого вредоносный код может распространяться под видом вполне обычного обновления.

Отдельной проблемой стал и так называемый slopsquatting. Это схема, при которой злоумышленники заранее регистрируют пакеты с названиями, похожими на те, что могут «придумать» ИИ-ассистенты в ответ на запрос разработчика. Дальше всё просто: человек доверяет подсказке, ставит несуществовавшую раньше библиотеку — и получает зловред.

Ситуацию усугубляет любовь индустрии к быстрым обновлениям. По оценке экспертов, около 60% команд внедряют новые версии компонентов не реже одного раза в неделю. Из-за этого окно между публикацией вредоносного пакета и его попаданием во внутреннюю инфраструктуру компании может сократиться буквально до нескольких часов. При этом только 21% организаций сознательно выдерживают паузу перед установкой новых версий.

Есть и ещё одна проблема: не все вообще хорошо понимают, что именно у них используется. Примерно четверть компаний, как утверждают в «Информзащите», до сих пор не имеют централизованного контроля за источниками библиотек и их обновлениями.

Сильнее всего, по оценке экспертов, рискуют отрасли с высокой скоростью разработки и большим количеством внешнего кода. На ИТ и разработку ПО приходится 28% выявленных инцидентов, на финансовый сектор — 19%, на ретейл и электронную коммерцию — 17%, на телеком — 12%, на энергетику и промышленность — 9%. Остальные случаи распределяются между медиа, образованием и госсектором.

В самой «Информзащите» считают, что старый подход к open source как к удобному и почти бесплатному строительному материалу больше не работает. Если раньше основная головная боль была в уязвимостях легитимного кода, то теперь всё чаще речь идёт о прямом вредоносном содержимом, которое выглядит как штатное обновление и может попасть в инфраструктуру практически мгновенно.

Специалисты рекомендуют жёстче контролировать источники пакетов, использовать внутренние репозитории, фиксировать версии зависимостей, не обновляться вслепую и лучше защищать рабочие места разработчиков и сборочные контуры.

RSS: Новости на портале Anti-Malware.ru