Facepalm: Supply chain attacks can remain dormant for extended periods before striking their target, but they typically don’t take years to achieve their objectives. However, a recently uncovered attack managed to stay undetected for a record-breaking length of time.

At least three vendors of e-commerce software tools were compromised in a coordinated supply chain attack dating back at least six years. According to security firm Sansec, the unknown attackers injected a dangerous backdoor into the vendors’ products, only taking control of third-party e-commerce servers a few days ago.

The backdoor ultimately infected hundreds of e-commerce websites, with Sansec estimating between 500 and 1,000 total victims. The affected sites include both small businesses and large enterprises – including one $40 billion multinational corporation that Sansec declined to identify.

The compromised vendors offer extensions for Magento, the open-source e-commerce platform acquired by Adobe several years ago. Sansec reported that servers belonging to Tigren, Magesolution, and Meetanshi were breached, with the attackers injecting backdoors into their download systems.

Analysts also discovered a tampered version of the Weltpixel GoogleTagManager add-on. However, it’s still unclear whether Weltpixel’s systems were directly compromised or if only end-user e-commerce stores were affected.

Sansec described supply-chain attacks as one of the most severe threats facing online systems. After compromising the vendors’ servers, the cybercriminals gained access not only to the vendors’ customers, but also – by extension – to all end users visiting the affected e-commerce stores. Once activated, the backdoor executed its malicious payload in users’ browsers, stealing payment information in a manner reminiscent of a typical Magecart attack.

The security firm has published instructions to help website operators determine whether their e-commerce platforms have been compromised by this new supply-chain campaign. One key indicator is a PHP function that attempts to load a file named “$licenseFile”, which initiates a chain of execution ultimately leading to the injection of malicious PHP code.

Sansec said it attempted to alert the affected add-on vendors. Despite the warning, both Tigren and Magesolution reportedly continued distributing the compromised versions of their tools. Meetanshi, on the other hand, acknowledged the breach, but none of the companies provided further comment or answered follow-up questions. As Sansec noted, that’s hardly reassuring behavior from vendors claiming to offer solutions to “help online stores succeed” in the competitive world of e-commerce.

Dieser Artikel ist auch hier auf Englisch verfügbar.

Mit AZHOS möchte ich heute endlich ein Projekt vorstellen, welches ich schon seit Monaten verfolge und bei dem ich die Gelegenheit hatte, mir auch einen Eindruck vor Ort zu verschaffen. AZHOS möchte mit Hilfe der Blockchain-Technologie einen neuen Standard im Bereich der chemischen Supply-Chain etablieren, indem sie mit Hilfe von Sensorik Waren- und Zahlungsströme synchronisieren.

Die Problemstellung

Um zu verstehen an welchem Punkt AZHOS ansetzt, muss man zunächst das Geschäftsmodell von VMI (Vendor Managed Inventor) verstehen und über den aktuellen Stand der Digitalisierung in der chemischen Supply-Chain informiert sein.

Am besten kann man Letzteres an einem Beispiel erläutern: Nehmen wir an, Unternehmer A hat eine Fertigungsanlage, in der chemische Güter zur Herstellung von Waren benötigt werden. Diese chemischen Güter werden dabei aus einem Tank bezogen, der A gehört, dessen Inhalt aber, auch wenn der Tank A gehört, dem chemischen Lieferanten B gehört, der ständig für Nachschub sorgt (dies nennt man Konsignationslager). In einem Abstand von mehreren Wochen wird der Tank auf seinen Inhalt geprüft worauf eine Vergütung erfolgt. B wird also nicht direkt bei einem Verbrauch von A vergütet, sondern entsprechend seiner Inventurzyklen. Die Folge ist eine hohe Kapitalbindung seitens des Lieferanten. Dieses Problem kann AZHOS nun lösen (dies wird im Anschluss an den nächsten Exkurs näher erläutert).

Exkurs: Orbit Logistics

Orbit Logistics ist ein VMI-Dienstleister spezialisiert auf chemische Güter. Moderne Sensorik-Systeme (Radar, Ultraschall, Laser, etc.), welche in den Silos und Warenhäusern von Chemiekonzernen zum Einsatz kommen, scannen laufend die Füllstände dieser. Die daraus resultierenden Daten werden dann genutzt, um den gesamten Wiederbeschaffungsprozess zu automatisieren (CPFR – Collaborative Planning, Forecasting & Replenishment). Orbit ist mit Standorten in Europa, Nord- und Südeuropa sowie tausender Datenpunkte laut eigenen Angaben Marktführer in diesem Bereich.

Diese Diashow benötigt JavaScript.

Eindrücke meines Besuches bei Orbit Logistics in Leverkusen im Sommer 2018.

AZHOS

Die Idee zu AZHOS entstand aus der von Orbit Logistics betriebenen Supply-Chain Automatisierung. Ergänzend zu diesem Geschäftsmodell automatisiert AZHOS die entsprechenden Finanzströme.

Nehmen wir nun an, dass in unserem obigen Beispiel ein Sensor im Tank verbaut ist. Sobald A nun Güter aus seinem Tank verbraucht, registriert der Sensor dies und speichert diese Daten auf der Blockchain. Dieses Signal, welches sonst eine automatische Bestellung ausgelöst hätte, initiiert nun eine automatische Zahlung an B über einen Smart Contract. Dabei wird die gesamte Finanz-Infrastruktur von AZHOS bereitgestellt und AZHOS arbeitet aktuell mit mehreren Banken an programmierbarem, auf der Blockchain transferierbarem E-Money (Tokenized E-Money, nicht zu verwechseln mit Stable-Coins). Das bedeutet als Resultat ganz konkret: B muss nicht wie zuvor lange auf seine Bezahlung warten – das gebundene Kapital wird befreit. 

Warum allerdings wird bei einem solchen Projekt die Blockchain-Technologie benötigt? Den Regularien Basel III und IV folgend, welche die Eigenkapitalregelungen für Banken und Risikobewertungen regeln, können chemische Güter nicht durch z.B. Factoring vorfinanziert werden, wenn sie nicht genau quantifizierbar sind. Durch eine Speicherung der Füllstände in der Blockchain entsteht nun der benötigte genaue Nachweis! Durch die Abwicklung über Smart Contracts und die Verknüpfung von IBAN Accounts mit Wallet Adressen ist AZHOS damit der erste industrielle Blockchain Use-Case, der eine einfache Systemanbindung bietet. 

AZHOS arbeitet aktuell mit großen Partnern aus der Industrie (u.a. Evonik) an der Umsetzung. Für sämtliche Prozesse wird dabei Quorum, eine auf Ethereum basierende private Blockchain, genutzt und mit jeder Transaktion über das Netzwerk wird eine Gebühr fällig, die dann zwischen AZHOS und den Token Haltern des angekündigten STO aufgeteilt wird.

Einschätzung

An dieser Stelle kann ich leider nicht wie gewohnt final auf das Projekt eingehen – dies hat rechtliche Gründe. Ich verweise hier auf das Whitepaper und den Telegram Channel, in dem sämtliche Informationen zu finden sind. Weiterhin möchte ich darauf verweisen, dass ich als Advisor von AZHOS aufgeführt werde. Ich bitte hier auch wieder sich zu erinnern, dass dies nicht zwangsweise bedeutet, dass ich Einsicht und Einfluss auf sämtliche Entscheidungen bei AZHOS nehmen kann.

Insgesamt sehe ich AZHOS als einen hoch interessanten Real-World Blockchain Use-Case an und freue mich auf die Ergebnisse der Umsetzung mit Evonik.

-Lukas Fiedler

Disclaimer – Hinweis auf Interessenkonflikt: Der Autor oder Teile des Autorenteams sind in die oben genannten Kryptowährungen selbst investiert oder werden in diese investieren (Dies wird ab jetzt standardmäßig unter jedem Artikel erscheinen, da es sein kann, dass zu einem Zeitpunkt nach Veröffentlichung des Artikels investiert wurde).