【資安日報】2022年3月23日，研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊

針對近日勒索軟體駭客Lapsus$公布他們入侵了微軟、身分驗證管理業者Okta的情況，這兩家公司都表明有使用者的帳號遭駭，而遭到入侵，甚至是原始碼外洩的情況。而自3月初Lapsus$公布對於一連串IT業者下手的動作，微軟也公布這個駭客組織的攻擊手法，供大家防範。

另一個值得留意的面向，則是今日出現多起勒索軟體攻擊事件。包含了蘇格蘭心理諮商機構SAMH、希臘郵政業務公司ETLA，以及俄羅斯肉品產銷業者Miratorg等。其中，SAMH和ETLA都出現部分業務被迫中斷的情況。

鎖定蘋果裝置而來的攻擊行動，最近也出現新的惡意軟體和攻擊手法，例如，中國駭客組織Storm Cloud開發macOS版惡意軟體Gimmick，而在針對加密貨幣詐騙攻擊行動中，駭客也將攻擊目標從Android手機延伸到了iOS裝置。

【攻擊與威脅】

微軟研究人員揭露勒索軟體駭客Lapsus$的攻擊手法

勒索軟體駭客Lapsus$（亦稱為DEV-0537）聲稱挾持Azure DevOps帳號，取得微軟搜尋引擎Bing、語音助理Cortana、Bing地圖的原始碼，微軟也隨後於3月22日晚間公布初步調查結果，駭客入侵其中一個員工的帳號，進而得到有限的原始碼存取權限，該公司亦強調，駭客存取他們的程式碼並不會增加資安風險。

雖然微軟沒有透露駭客如何入侵該名員工的電腦，但他們也進一步揭露對於Lapsus$攻擊行動的觀察，指出這些駭客可能透過多種管道取得進入受害組織的管道，包含了與受害組織的員工串通，或是透過部署RedLine、地下論壇、公開的外洩帳密資料庫取得，進而存取VPN、遠端桌面連線（RDP）、虛擬桌面環境（VDI），或是如Okta、Azure AD身分管理系統等，開始進入受害組織。值得注意的是，為了通過雙因素驗證（MFA），這些駭客可能會不斷觸發MFA通知轟炸受害的使用者，或是使用SIM卡挾持攻擊（SIM Swapping）來達到目的。

在成功進入受害組織的內部網路環境後，Lapsus$就會運用AD Explorer軟體來找尋高權限帳號，並鎖定SharePoint、Confluence、JIRA、Slack，以及Teams等協作平臺來竊取更多帳密，進而用來存取儲存於GitLab、GitHub、Azure DevOps的原始碼。

Okta證實勒索軟體駭客Lapsus$曾於1月入侵技術支援工程師的筆電

身分驗證管理解決方案業者Okta於昨日傳出遭勒索軟體駭客Lapsus$入侵的事故，該公司今天做出更多說明，表示在經過清查後，約有2.5%客戶的資料可能被駭客看過，甚至是進一步濫用，他們已經個別通知這些顧客，並強調該公司提供的服務仍正常運作，沒有遭到破壞。

而對於這起事件發生的經過，該公司指出，他們在今年1月的時候，發現有外部供應商客戶支援工程師的帳號遭到異常存取，但駭客沒有成功，該外部供應商獲報後委由外部資安業者著手調查，結果發現，攻擊者在2022年1月16日至21日，可存取這名工程師的筆電，這樣的結果與Lapsus$昨天公布的螢幕截圖內容相符。Okta指出，該名工程師的帳號確實能存取Jira的工單，或是使用者名單，且能協助用戶重設密碼，但無法新增使用者，或是下載顧客的資料庫。

針對上述Okta的說明，Lapsus$似乎不以為然，該組織宣稱攻擊的對象是瘦客戶端（Thin Client），而非筆電，並強調他們藉由超級使用者的身分，可重設約95%使用者的密碼和雙因素驗證（MFA）機制。

附帶一提的是，在昨天的螢幕截圖中，也出現雲端服務業者Cloudflare的帳號，對此該公司也做出說明，表明採取已相關措施，他們的客戶不會受到影響。

蘇格蘭心理諮商機構SAMH傳出遭勒索軟體RansomEXX攻擊

近年來駭客攻擊醫療院所的情況不時發生，但若對象是心理諮商機構，很有可能導致病人因相關的診斷資料外洩，而造成更嚴重的傷害。心理諮商機構蘇格蘭心理健康協會（SAMH）於3月18日，發布聲明表示他們遭到網路攻擊，全國和地方辦公室的電子郵件系統受到影響，部分電話線也面臨無法運作的情況。該組織於21日再度公告通訊依舊中斷的現象，並表明已與警方合作進行調查。

而對於攻擊者的身分，資安業者Bitdefender指出，發動攻擊的可能是勒索軟體RansomEXX，駭客疑似在暗網上公布竊得的12 GB資料，包含了病人的駕照、護照等個資，以及志工的居家地址和電話號碼等，其中部分個資的內容，還涵括了密碼及信用卡詳細資料。

希臘郵政公司ETLA遭勒索軟體攻擊導致業務中斷

駭客鎖定交通運輸業者發動網路攻擊的情況，過往多數是針對物流業者，但現在也有對於郵局的攻擊事故發生。根據資安新聞網站Bleeping Computer的報導指出，希臘郵政業務公司ETLA證實，他們在3月20日遭到網路攻擊，駭客運用尚未修補的漏洞來投放惡意軟體，攻擊行動的目標是加密與該公司營運相關的重要系統。不過，駭客是否向ETLA留下勒索訊息，以及資料外洩的範圍，該公司沒有進一步說明。

而對於這起事件產生的影響，目前ETLA無法提供郵件投遞、轉帳、支付帳單等業務，許多使用者在臉書上回報，他們無法追蹤包裏寄送的進度。

駭客攻擊俄羅斯肉品業者Miratorg，並使用BitLocker加密檔案

去年5月大型肉品業者JBS遭勒索軟體攻擊引起關注，如今又有大型肉品業者遭到檔案加密攻擊的情況。根據資安新聞網站Bleeping Computer的報導，俄羅斯聯邦獸醫和植物檢疫監督機構Rosselkhoznadzor指出，該國肉品產銷業者Miratorg近日遭到嚴重的網路攻擊，駭客使用Windows內建的BitLocker功能來加密檔案，疑似是透過政府的獸醫服務資訊系統VetIS入侵該公司，很有可能是一起供應鏈攻擊事件，影響Miratorg旗下近20家子公司。對此，Miratorg也於3月18日發布聲明證實遭到網路攻擊，並承諾不會影響對俄羅斯肉品的供應。

俄羅斯駭客組織InvisiMole鎖定烏克蘭下手

俄羅斯駭客再度透過網路釣魚攻擊，向烏克蘭民眾散布惡意軟體。烏克蘭電腦緊急應變小組（CERT-UA）於上週得知，俄羅斯駭客組織InvisiMole正在發動釣魚郵件攻擊，並在郵件裡挾帶501_25_103.zip與捷徑檔案（LNK），一旦收信人開啟檔案，電腦將會下載HTML應用程式檔案（HTA），並執行VBScript，目的是要在受害電腦植入惡意程式LoadEdge。CERT-UA指出，一旦LoadEdge成功與C2中繼站連線，將會進一步下載DNS隧道（DNS Tunneling）工具，以及資料收集與後門狀態監控模組。

中國駭客使用惡意軟體Gimmick攻擊macOS用戶

惡意軟體近年來不只攻擊Windows電腦，也開始發展出能在macOS作業系統上執行的版本。例如，資安業者Volexity指出，他們在2021年底，發現有執行macOS Big Sur作業系統的MacBook Pro筆電，遭到惡意程式感染，他們針對這臺電腦的記憶體進行分析，發現這是中國駭客組織Storm Cloud發起的惡意軟體Gimmick攻擊行動，而在此之前，他們看到了數次攻擊行動，都是針對Windows電腦而來。

研究人員指出，雖然駭客開發Windows版和macOS版Gimmick所使用的程式語言不同，但兩者使用相同的C2架構、檔案路徑、攻擊模式，且濫用Google Drive檔案共用服務做為C2伺服器。蘋果獲報後，已於3月17日更新XProtect和MRT元件的特徵碼，而能夠攔截此惡意軟體的攻擊行動。

CryptoRom比特幣詐騙行動鎖定iPhone與Android用戶而來

駭客透過網路詐騙的方式，引誘加密貨幣投資人上當的現象，態勢也變得越來越嚴重。資安業者Sophos提出警告，他們在2021年10月開始，發現駭客使用名為CryptoRom加密貨幣交易所的名義，進行網路詐騙的事件，且駭客同時針對iOS和Android用戶下手，在全球都有受害者。

值得留意的是，針對iPhone用戶的攻擊行動，攻擊者不只透過TestFlight臨時簽章的機制，來將惡意App上架到App Store，也有利用iOS的WebClips功能，讓受害者誤以為正在執行加密貨幣交易所App的情況，但實際上，受害者存取的是攻擊者提供的惡意網頁。

手機間諜軟體Facestealer上架Google Play市集，逾10萬用戶受害

手機惡意軟體為了取信受害者，上架到Google Play市集引誘用戶下載的情況，曾一度因市集加強管控而減少，但最近又有死灰復燃的現象。資安業者Pradeo發現名為Craftsart Cartoon Photo Tools的照片濾鏡App，但使用者安裝後，手機會被植入間諜軟體Facestealer，駭客藉此竊取受害者的臉書帳密，並傳送到位於俄羅斯的伺服器，除此之外，此間諜軟體還會挾持受害者的臉書帳號，進一步挖掘更多資料。該照片濾鏡App至少有10萬用戶安裝。

研究人員指出，駭客上架偽裝成合法的應用程式以逃避Google Play的審查機制，僅有在App注入一小段惡意程式碼而不致被發現異狀。Google獲報後於3月22日下架。

木馬程式BitRAT透過韓國檔案共享服務散布

駭客運用大型的雲端檔案共享服務來散布惡意軟體，不時有攻擊行動出現，但近期也有人改以特定地區的熱門雲端服務來發動攻擊。資安業者AhnLab發現，使用BitRAT木馬程式發動攻擊的駭客，近期以提供破解Windows授權驗證機制的盜版工具（Windows Product Key Verification Tool）名義，散布這款惡意軟體。值得留意的是，駭客將上述木馬程式存放於南韓的雲端檔案共享服務Webhard，而讓受害者降低警覺。

【資安產業動態】

McAfee的SASE業務獨立為Skyhigh Security上市

自私募基金創投公司Symphony Technology Group（STG）於今年1月，將McAfee Enterprise和FireEye合併為XDR業者Trellix上市，並預告還會將McAfee的安全存取服務邊界（SASE）業務成立另一家公司，STG也於3月22日正式成立這家公司，並命名為Skyhigh Security。該公司產品藍圖將包含網頁安全閘道（SWG）、雲端存取安全中介（CASB）服務、雲端資料外洩防護（DLP）、遠端瀏覽器隔離上網系統（RBI）、雲端防火牆，以及雲端原生應用程式防護平臺（CNAPP）等。