【資安日報】2022年2月8日，資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊

針對發生在1月中旬烏克蘭政府遭到攻擊的事故，近期有多家資安業者揭露他們的發現，其共通點是俄羅斯駭客組織Gamaredon近期的確對於烏克蘭的政府與企業，發動網路釣魚攻擊。

最近微軟宣布即將採取2項較為嚴格的管制措施，原因是相關的機制已被攻擊者大肆濫用，散布Emotet、Trickbot、Dridex等惡意軟體。其一是Windows 10、11市集App透過網頁直接安裝的機制被停用，使用者將必須把完整的MSIX安裝檔案下載到電腦，才能執行安裝作業；另一項則是與從網路上下載的Office文件有關，微軟將於4月直接封鎖這類文件的巨集。

【攻擊與威脅】

俄羅斯駭客組織Gamaredon鎖定烏克蘭下手，資安業者提出更多發現

烏克蘭政府於1月中旬遭到大規模的網路攻擊，該國指控下手的駭客組織是Gamaredon（亦稱Armageddon、Shuckworm、Actinium），且與俄羅斯軍情機構聯邦安全局（FSB）有關。如今有多家資安業者揭露相關調查，例如，微軟表示，該組織早於2021年10月開始，就針對烏克蘭組織發動網路釣魚郵件攻擊，包括政府、軍隊、非營利組織（NGO）等；Palo Alto Networks指出，他們看到駭客企圖於1月19日發動網釣攻擊，但是管道是透過烏克蘭政府提供的就業服務系統進行；賽門鐵克則是在2021年7月，就看到該組織使用網釣攻擊散布含有惡意巨集的Word檔案。

要求受害者安裝Windows 10市集App來散布惡意程式的情況時有所聞，線上安裝市集App的通訊協定遭禁用

從網站上安裝Windows 10、11市集App（MSIX安裝檔案）的機制，遭到攻擊者濫用的情況，2021年已有數起攻擊事故發生，例如，於11月復活的Emotet，就曾以要求受害者安裝Adobe PDF瀏覽器元件的名義，來散布惡意軟體。微軟曾於12月發布修補程式並提出緩解措施，並將其登錄為CVE-2021-43890列管，但現在該公司打算更進一步封鎖這種安裝市集App的管道──他們宣布在Windows電腦上停用ms-appinstaller通訊協定，以防堵相關攻擊行動，並預計導入新的群組政策，讓IT人員能限縮在內部網路環境啟用這種通訊協定。

微軟打算針對5款Office應用程式加強巨集的管控，計畫對於自網路下載的文件全面封鎖巨集功能

攻擊者透過Office文件VBA巨集傳送惡意程式的情況，不時有事故發生，即使預設停用，駭客仍千方百計誘使受害者按下啟用的按鈕。針對這樣的情況，微軟在2月7日宣布，他們將於4月開始，針對Windows版的5款Office軟體，包括Access、Excel、PowerPoint、Visio、Word，會對於從網路下載的文件檔案，直接停用巨集的功能。這樣的配置調整微軟將從Office 365預覽版本開始推送，並擴及到Office 2013至2021，以及Office LTSC。

勒索軟體Black Cat對德國大型石油運輸業者下手

德國大型石油運輸業者Oiltanking、Mabanaft相繼於1月底傳出遭到網路攻擊，導致其裝卸油品的系統癱瘓，石油供應商殼牌（Shell）於2月1日表示，他們因此被迫變更輸送石油的路線。而這起攻擊事故如今有了進一步的揭露──根據德國商報（Handelsblatt）取得聯邦資訊安全辦公室（BSI）的內部報告指出，勒索軟體Black Cat（亦稱Alphv）是本次攻擊事故的幕後黑手，當地至少有233個加油站受到波及。

這起攻擊事故的行徑，也讓不少人想起美國大型燃油管道業者Colonial Pipeline於2021年5月，遭到DarkSide攻擊的事故，進而追查Black Cat背後的駭客組織身分。根據資安新聞網站Bleeping Computer的報導指出，駭客組織Black Cat應該是DarkSide、BlackMatter改名繼續運作，原因是原本的組織名稱已被執法單位盯上，對於用戶而言也信譽掃地。資安業者Emsisoft表示，根據勒索軟體的功能和相關組態檔案，使用Black Cat、DarkSide、BlackMatter的駭客組織相同。而該新聞網站也取得經營勒索軟體LockBit的駭客說法，認定Black Cat的前身就是DarkSide、BlackMatter。

CSV檔案也遭到濫用！駭客搭配Excel來散布BazarBackdoor惡意軟體

駭客利用經常透過Office文件、PDF檔案對目標下手，進行網釣攻擊，不過，最近出現一種較為少見的手法。根據資安新聞網站Bleeping Computer的報導，近期研究人員Chris Campbell發現一起網路釣魚攻擊，駭客利用有問題的CSV檔案，搭配Excel的動態資料交換（DDE）功能，來觸發CSV檔案挾帶的指令，於受害電腦植入惡意程式下載器BazarLoader、木馬程式BazarBackdoor。威脅情報業者Advanced Intelligence指出，他們在2天內觀察到有102個企業或政府機關受害。

【資安防禦措施】

Log4Shell漏洞引爆開源軟體安全議題，OpenSSF基金會推動積極修補漏洞的計畫

日前美國政府召集大型IT業者商討開源軟體安全議題，但具體而言要如何強化這類軟體的安全？開源軟體安全基金會（OpenSSF）於2月1日宣布成立Alpha-Omega專案，將協助尋找並修補1萬項開源軟體的漏洞。而這項專案，就是上述會議討論的結果，OpenSSF將與軟體專案負責單位合作，運用自動檢測工具來促進開源軟體供應鏈的安全。其中，在專案的第一階段，微軟和Google會投入500萬美元。