GitHub示警：Lazarus對軟體開發者進行社交工程攻擊

2023 / 07 / 24

編輯部

GitHub 警告，北韓國家駭客組織 Lazarus 正在攻擊區塊鏈、加密貨幣、線上博弈和網路安全領域的開發人員，透過惡意軟體感染開發人員設備。

Lazarus被微軟威脅情報部門稱為 Jade Sleet，又被美國CISA 稱為 TraderTraitor。GitHub 近日發佈安全警報表示，Lazarus在GitHub及社群媒體發動小規模的社交工程攻擊，假冒成開發人員和招募人員。利用儲存庫協作邀請以及惡意npm 套件使用，攻擊開發人員的帳戶。

攻擊者利用WhatsApp與受害者對話，與攻擊目標建立信任後，攻擊者會邀請受害者協作一個專案，並複製一個媒體播放器或加密貨幣交易工具的GitHub儲存庫。然而，GitHub 指出，這些協作專案利用開發過程中使用惡意 npm 套件，進而將更多惡意軟體投放到目標設備上。

GitHub引用 Phylum 公司在6月份發佈的報告指出，這些惡意npm套件除了下載惡意軟體同時也會讓受害設備連到遠端系統執行其他的載荷(payloads)。目前這些載荷的詳細資料尚未分析完成，但Phylum 公司認為這是精心設計的供應鏈攻擊一環。

這次攻擊引人注意的原因在於它獨特的執行鏈要求：同樣機器上需要以特定順序安裝兩個不同的套裝程式。此外，這些惡意零件存儲在伺服器上，會在執行時動態分配。

GitHub 表示，他們已暫停使用所有的npm相關帳號並發佈了與該活動相關的功能變數名稱、GitHub 帳戶以及npm套件的完整指標清單。GitHub強調這起攻擊活動並未攻陷任何 GitHub 或 npm 系統。

這起活動類似2021年1月Lazarus 發動的另一起攻擊活動，當時攻擊者對資安人員發動社交攻擊，說服資安研究員協作開發漏洞，背後目的是散播惡意 Visual Studio 項目，安裝後門程式。
Lazarus擅長以社交工程攻擊，鎖定加密貨幣公司和軟體開發人員以竊取資產，支援北韓的國家計畫。區塊鏈、國防企業、航太企業、資安相關的軟體開發者應特別留意。

本文轉載自BleepingComputer。

GitHub 社交工程攻擊 npm套件