【資安日報】2022年3月29日，惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊

駭客使用與熱門NPM套件相似的名稱，在NPM市集上架惡意套件的情況，最近幾個月不時有事故傳出，但最近一個星期內，陸續有三家資安業者針對新的惡意NPM套件自動化攻擊提出警告，並指出每個套件駭客都透過不同的NPM開發者帳號上傳，而不像過往使用單一帳號上傳大量的惡意套件。再者，比較特別的是，這次駭客鎖定特定領域的開發人員下手，但攻擊目的仍不明朗。

在烏克蘭戰爭中，雙方駭客向敵方國家發動網路攻擊的情況接連出現，但今天出現利用網站使用者的電腦，向特定網站發動DDoS攻擊的事故。駭客入侵數百個WordPress網站植入惡意程式碼，讓瀏覽遇害網站的使用者電腦向10個烏克蘭網站暗中發動攻擊，而且，使用者除了感覺上網速度可能會變慢之外，不易察覺有異。

針對3月24日資安日報報導Avast揭露WPS Office漏洞CVE-2022-24934，臺灣代理商無敵科技也於25日做出說明，指出此漏洞僅影響國際版，臺灣版本不受影響。

【攻擊與威脅】

惡意NPM套件鎖定Azure、Uber、Airbnb的開發者竊密

駭客上傳名稱相仿的惡意NPM套件，來對開發人員下手的情況，不時傳出攻擊行動，但現在駭客已發展出自動大量產生這類套件的做法，而引起研究人員關注。資安業者JFrog於3月23日揭露鎖定Azure開發者的惡意NPM套件攻擊，駭客假冒@azure、@azure-rest、@azure-tests、@azure-tools、@cadl-lang領域的套件，在數天之內從約50個增加至218個（截至3月21日），一旦開發者不慎就有可能安裝到惡意套件，這些套件內含的惡意酬載，功能主要是能竊取受害電腦裡存放的個資，並對受害電腦進行偵察。與過往的攻擊行動不同之處在於，駭客很可能透過指令碼自動上傳這些惡意套件，雖然開發者的帳號都不相同，但背後發起攻擊的駭客身分相同。

另一個資安業者Sonatype於3月25日表示，這組駭客不只鎖定Azure開發者下手，還針對Uber與Airbnb的開發人員，他們看到有超過400個惡意套件。資安業者Checkmarx於3月28日表示，他們約自2月23日察覺這組駭客Red-Lili的攻擊行動，迄今駭客約產生逾800個惡意NPM套件。

駭客利用WordPress網站散布攻擊工具，利用瀏覽網站的用戶電腦向烏克蘭發動DDoS攻擊

資安研究團隊MalwareHunterTeam發現，有WordPress網站被植入惡意程式碼，鎖定瀏覽網站的使用者下手，利用這些電腦，在使用者不知情的情況下，於背景執行分散式阻斷服務（DDoS）攻擊，目標是10個烏克蘭網站，包含該國政府機構、招募國際士兵的網站、金融網站等。研究人員Andrii Savchenko指出，約有數百個WordPress網站遭到竄改而被植入相關程式碼，但許多管理者並不知情。

以收集戰爭犯罪證據為幌子，中國駭客Scarab鎖定烏克蘭發動網釣攻擊

烏克蘭電腦緊急應變因應小組（CERT-UA）於3月22日發布資安通告，指出駭客組織UAC-0026以俄羅斯軍隊犯罪的記錄影片為誘餌，發動網路釣魚攻擊，並提及駭客投放的惡意DLL檔案HeaderTip，且類似的攻擊行為曾在2020年9月出現，而最近有研究人員找到與中國駭客相關的跡象。資安業者SentinelOne揭露，從惡意文件與相關檔案進行分析，駭客使用中文的Windows作業系統製作作案相關工具，其身分可能就是中國駭客組織Scarab，而這個組織相當會利用執法機關的名義，並搭配時事發動網路釣魚攻擊，以上述2020年9月的攻擊行動而言，這些駭客就是利用歐洲安全與合作組織（OSCE）的名義，以反恐會議的文件為誘餌向菲律賓人下手。

木馬程式IcedID鎖定Exchange Server下手

為了讓釣魚郵件更難以被識破，駭客很可能先入侵郵件伺服器，挾持部分使用者的帳號來發送郵件，進而在受害電腦上植入惡意軟體。資安業者Intezer指出，使用木馬程式IcedID的駭客，近期鎖定受感染的Exchange Server，並竊取當中部分電子郵件帳號，以回信的方式來發送釣魚郵件，挾帶Windows捷徑（LNK檔案）與DLL檔案來散布IcedID。駭客鎖定能源、醫療、法律、製藥廠等產業下手。

研究人員認為，駭客使用了LNK檔案做為附件，並透過遭駭Exchange Server的電子郵件帳號寄信，而使得攻擊行動更難被察覺，他們也呼籲郵件伺服器管理員，要儘速修補Exchange Server重大漏洞，以免成為駭客的攻擊對象。

【資安產業動態】

美國將卡巴斯基列入可能造成國安威脅的名單

自烏克蘭戰爭開戰以來，德國、義大利針對卡巴斯基下手，打算減少使用該廠牌的防毒軟體，來防範可能會遭到俄羅斯監控的情況，如今美國亦認為該廠商可能會帶來國安威脅。美國聯邦通訊委員會（FCC）於3月25日，將卡巴斯基列入可能對國家安全造成威脅的設備或服務提供者名單。這份名單目前總共有8家廠商，除卡巴斯基之外其餘皆為中國業者。

歐盟與美國達成跨大西洋資料隱私框架初步協議

為減化美國企業將歐洲使用者資料傳送到美國的流程，他們與歐盟達成協議，於3月25日宣布即將推動新的跨大西洋資料隱私框架（Trans-Atlantic Data Privacy Framework），美國亦承諾強化對歐盟使用者資料的保護。事實上，美國曾依循歐盟隱私法令，與歐盟曾於2016年達成《隱私盾》（Privacy Shield）資料傳輸保護協議，但歐盟法院認為美國情報機構可能會窺探歐盟民資個資，於2020年7月廢除。而這次雙方打算推出的新隱私框架，主要便是界定美國的監控活動範圍與比例，以及不當收集或使用歐盟民眾個資時，所需採取的緊急因應措施。