【資安日報】2022年3月22日，勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織

今天最受到關注的新聞，應該就是勒索軟體駭客Lapsus$的動態。該組織先是於週日（3月20日）聲稱入侵微軟的Azure DevOps伺服器，取得部分產品的原始碼，隔日就開始洩露有關資料，而且，他們也接著宣稱取得身分驗證管理平臺Okta的超級使用者帳號。這兩家企業也都著手進行調查。

而軟體供應鏈的攻擊行動也相當值得留意。例如，有駭客利用開源的軟體管理系統Chocolatey，鎖定多個法國政府機關與企業而來，藉由這套系統派送相關的程式庫進行作案；再者，則是CRM業者HubSpot遭駭，而一口氣波及近30家加密貨幣交易所。

【攻擊與威脅】

勒索軟體駭客Lapsus$聲稱竊得微軟Bing、Cortana的原始碼

勒索軟體駭客Lapsus$最近動作頻頻，陸續洩露了Nivida、三星、Vodafone等IT大廠的機密資料，最近又有新的受害者。根據資安新聞網站Bleeping Computer的報導，Lapsus$於3月20日宣稱，他們成功入侵Azure DevOps伺服器，當中疑似包含了語音助理Cortana、搜尋引擎Bing等產品的原始碼，並於21日洩露部分資料，宣稱內有90%的Bing原始碼，以及約45%的Bing Maps、Cortana原始碼。對此，微軟也表明他們知悉此事，並正在著手調查。

勒索軟體駭客Lapsus$駭入身分驗證管理業者Okta，竊得超級使用者帳號

勒索軟體駭客Lapsus$在外洩微軟Azure DevOps儲存的程式原始碼後，沒多久又公布另一家受害公司的截圖。根據資安新聞網站Cyber Kendra的報導，Lapsus$疑似於1月21日入侵身分驗證管理業者Okta，並取得超級使用者權限，能夠存取該公司的AWS、Zoom、Gmail、Crayon、Splunk應用系統，並在公布竊得微軟原始碼的消息一個小時後，上傳Okta遭駭的螢幕截圖。

Lapsus$聲稱，他們沒有竊取Okta的資料，而是鎖定該公司的客戶為下手目標。對此，Okta表示他們知悉此事，亦正在著手進行調查。

俄羅斯大型石油管道公司Transneft驚傳資料外洩

烏克蘭戰爭已進行快一個月，俄羅斯的關鍵基礎設施接連成為駭客攻擊的目標。例如，最近有人聲稱竊得俄羅斯石油管道公司Transneft的資料，並公布於Distributed Denial of Secrets網站，這些資料來自該公司旗下的研發部門Omega公司，共有79 GB，外洩的資料是Omega員工的電子郵件，內含發票、產品運輸細節，以及設備配置的文件等。根據新聞網站The Verge的分析，發現最新的電子郵件是在3月15日寄送，資料算是相當新。附帶一提的是，發布上述資料的人士宣稱，是受到美國前國務卿希拉蕊．柯林頓（Hillary Clinton）的呼召，而發動相關的網路攻擊。

惡意軟體Serpent透過軟體管理系統Chocolatey散布，攻擊法國多個公家機關與公司行號

有一套軟體管理系統Chocolatey，可讓管理者自動部署多種應用程式的更新，最近據傳被駭客用於攻擊行動。這件事之所以被曝光，源於資安業者Proofpoint揭露使用Serpent的後門程式攻擊行動，對方鎖定法國政府機關、房仲業者、建設公司下手。駭客使用惡意Word文件來散布Chocolatey，然後藉此安裝Python與PySocks等開發工具，下載偽造成圖片檔案的惡意軟體Serpent建置後門，再投放其他做案工具。研究人員尚未確認攻擊者身分，但認為這是一起間諜行動。

雲端CRM業者HubSpot驚傳資料外洩，波及近30家加密貨幣業者

提供企業客戶關係管理（CRM）系統的業者遭駭，有可能導致客戶的使用者資料遭到洩露。加密貨幣交易所Circle、BlockFi、Pantera Capital等近期發布資安通報，表示他們因採用HubSpot的客戶關係管理系統，而受到HubSpot遭到駭客入侵事件波及，部分用戶的資料外洩。

而HubSpot也發布公告指出，他們在3月18日發現駭客挾持其中一名員工的帳號，進而竊取近30家加密貨幣業者的客戶資料，該公司已通知受到波及的加密貨幣業者，但沒有透露攻擊事件發生的原因。

韓國駭客DarkHotel鎖定澳門飯店下手，以處理活動相關的事宜發動網釣攻擊

駭客組織鎖定飯店即將舉辦的活動，發動釣魚郵件攻擊，這樣的手法可能使得收信人難以察覺異狀而中招。資安業者Trellix揭露南韓駭客組織DarkHotel的攻擊行動，駭客自2021年11月下旬，以澳門特別行政區政府旅遊局（Macao Government Tourism Office）的名義，發送釣魚郵件給鷺環海天度假酒店（Grand Coloane Resort）、永利皇宮（Wynn Palace）等當地17家飯店，要求員工填寫附件的Excel表格，來說明特定人士是否要居住在飯店。

一旦員工開啟上述的表格，就有可能觸發惡意軟體，而導致電腦遭到竊密。研究人員指出，駭客疑似因武漢肺炎疫情再度升溫，許多活動延後舉行，而在今年1月18日停止攻擊行動。

NPM套件node-ipc作者加入額外的相依套件抗議俄羅斯發動戰爭，有資安業者認為是資安漏洞並指派CVE編號

為了表達對於俄羅斯入侵烏克蘭的不滿，有程式開發人員藉由捆綁的套件來表達訴求。資安業者Synk於3月15日，發現Vue.js前端的JavaScript框架裡，命令列介面（CLI）軟體疑似遭到軟體供應鏈攻擊。經調查後發現，原因發生在其相依套件node-ipc上，該套件的作者Brandon Nozaki Miller（RIAEvangelist）先是在3月8日，製作名為Peacenotwar的套件，宣稱目的是要展示控管Node模組的重要性，並同時抗議俄羅斯威脅世界和平的行徑，但該名開發者後來於15日將其納入node-ipc的相依套件，而導致Vue.js命令列介面等NPM套件，也被納入了Peacenotwar。

Synk認為，雖然該名開發者的目的是表達反戰訴求，但此舉很可能會破壞開源社群的生態，因此他們還是決定將其登記為CVE-2022-23812進行列管，並呼籲用戶使用沒有夾帶Peacenotwar的舊版node-ipc。

俄羅斯銀行Sber應用程式遭駭，起因疑似駭客竄改開源程式庫

開源軟體開發者透過成立特定的「抗議軟體」專案，來表達對於俄羅斯發動戰爭的不滿，這樣的情況也引起俄羅斯的企業關注，並認為當中可能存在針對他們的惡意程式碼。根據新聞網站The Verge的報導，俄羅斯銀行Sber近期向顧客發出通知，呼籲他們暫時不要更新應用程式，原因是這些新版軟體可能會含有針對俄羅斯的惡意程式碼，一旦用戶更新軟體，就可能感染惡意軟體。

雖然該銀行沒有明確指出惡意軟體的名稱，但該新聞網站指出，疑似就是新版的NPM套件node-ipc，開發者鎖定俄羅斯的開發人員，在他們的電腦桌面上植入反戰爭的訊息。