據(jù)Bleeping Computer消息，微軟已經(jīng)確認(rèn)他們的一名員工受到了 Lapsus$ 黑客組織的入侵，使得黑客訪問和竊取了他們的部分源代碼。

3月21日晚，Lapsus$ 公開了從微軟 Azure DevOps 服務(wù)器竊取的 37GB 源代碼，這些源代碼適用于各種內(nèi)部 Microsoft 項(xiàng)目，包括 Bing、Cortana 和 Bing 地圖。在3月22日微軟官方網(wǎng)站更新的一篇博客中，確認(rèn)其員工的一個(gè)賬戶被 Lapsus$ 入侵，并獲取了對(duì)源代碼存儲(chǔ)庫(kù)的有限訪問權(quán)限。

泄露的源代碼項(xiàng)目

微軟表示，當(dāng)攻擊者公開披露他們的入侵行為時(shí)，其團(tuán)隊(duì)已經(jīng)根據(jù)威脅情報(bào)調(diào)查了被入侵的賬戶，并能夠在攻擊者的操作過程中進(jìn)行干預(yù)和打斷，從而限制了更廣泛的影響。雖然微軟沒有分享該帳戶是如何被入侵的，但他們提供了所觀察到的 Lapsus 團(tuán)伙在多次攻擊中所運(yùn)用的技術(shù)和程序 (TTP) 。

對(duì)憑證的竊取

微軟將 Lapsus$ 數(shù)據(jù)勒索組織追蹤為“DEV-0537”，并表示他們主要專注于通過多種方式獲取憑證，以獲得初步的公司網(wǎng)絡(luò)訪問權(quán)限，包括：

• 部署惡意 Redline 密碼竊取程序以進(jìn)行竊?。?/li>
• 在地下論壇上購(gòu)買憑證；
• 向目標(biāo)組織(或供應(yīng)商/業(yè)務(wù)合作伙伴)的員工開價(jià)購(gòu)買；
• 在公共代碼存儲(chǔ)庫(kù)中搜索公開的憑證。

Redline已成為竊取憑證的首選惡意軟件，并通過網(wǎng)絡(luò)釣魚電子郵件、warez 網(wǎng)站和 YouTube 視頻等渠道進(jìn)行傳播。一旦 Laspsus$ 通過竊取憑證訪問權(quán)限，就會(huì)以此來登錄公司面向公眾的設(shè)備和系統(tǒng)，包括 VPN、虛擬桌面基礎(chǔ)設(shè)施或身份管理服務(wù)，例如在今年1月份對(duì)Okta工程師電腦的入侵，進(jìn)而使 300多名客戶受到網(wǎng)絡(luò)攻擊影響 。

對(duì)于擁有多因素身份驗(yàn)證 (MFA)的用戶，微軟表示Laspsus$通過使用會(huì)話重放攻擊，或持續(xù)觸發(fā) MFA 通知，讓一些用戶感到厭煩，從而索性允許其登錄。至少在一次攻擊中，Lapsus$ 會(huì)執(zhí)行 SIM 交換攻擊，以控制用戶的電話號(hào)碼和 SMS 文本，從而獲得登錄帳戶所需的 MFA 代碼。

一旦獲得對(duì)網(wǎng)絡(luò)的訪問權(quán)限，Laspsus$就會(huì)使用 AD Explorer 來查找具有更高權(quán)限的帳戶，然后瞄準(zhǔn)開發(fā)和協(xié)作平臺(tái)，例如 SharePoint、Confluence、JIRA、Slack 和 Microsoft Teams。

微軟也還注意到一些Laspsus$的其他動(dòng)向，如使用竊取的憑證來訪問 GitLab、GitHub 和 Azure DevOps 上的源代碼存儲(chǔ)庫(kù)，并利用 Confluence、JIRA 和 GitLab 中的漏洞來提升權(quán)限。在收集到有價(jià)值的數(shù)據(jù)后，通過 NordVPN將數(shù)據(jù)傳輸?shù)侥硞€(gè)隱蔽的服務(wù)器。同時(shí)他們會(huì)對(duì)受害目標(biāo)的基礎(chǔ)設(shè)施進(jìn)行破壞性攻擊以觸發(fā)事件響應(yīng)程序，并通過受害目標(biāo)的 Slack 或 Microsoft Teams 渠道監(jiān)控這些程序。

防范 Lapsus$

微軟建議企業(yè)實(shí)體執(zhí)行以下方法來防范Lapsus$等黑客的攻擊：

• 進(jìn)一步強(qiáng)化MFA的運(yùn)用；
• 建立健康和可信的端點(diǎn)；
• 充分利用VPN的身份認(rèn)證選項(xiàng)；
• 加強(qiáng)和監(jiān)控云安全狀況；
• 提高對(duì)社會(huì)工程攻擊的認(rèn)識(shí)；
• 建立操作安全流程以響應(yīng)入侵。

近來，Lapsus$已對(duì)多家巨頭企業(yè)發(fā)動(dòng)了攻擊，包括英偉達(dá)、三星、育碧等。

參考來源：https://www.bleepingcomputer.com/news/microsoft/microsoft-confirms-they-were-hacked-by-lapsus-extortion-group/