📋 摘要：
- 威脅行動者：GlassWorm（APT小組）
- 攻擊向量：盜用GitHub令牌，供應鏈攻擊
- 影響：醫療保健存儲庫中潛在的 PHI/PII 暴露
- HIPAA風險：高
風險等級：高（85%）
初始訪問：攻擊者通過恶意VS Code和Cursor擴展程序利用GlassWorm惡意軟件 compromize開發人員系統。盜用的憑證用於強制推送惡意變更到存儲庫中。
執行：恶意代碼附加到如setup.py、main.py或app.py等Python文件中，進行混淆並設計為在系統本地設置上執行。
信息外泄：額外載荷從C2伺服器下載以進行數據外泄。載荷包括加密JavaScript用於盜取加密貨幣和數據。
⚠️ HIPAA影響：被 compromize的存儲庫可能會導致未經授權訪問和 PHI/PII 的外泄，違反HIPAA規範。根據泄露規模，立即通知要求適用（60天規則）。
2.5M
被 compromized 仓库中可能暴露出的紀錄
攻擊向量的技術分解
GlassWorm 行動利用了一種複雜的供應鏈攻擊策略，主要針對通過盜取GitHub存取權杖的Python倉庫。攻擊者首先通過恶意擴展如VS Code和Cursor，將惡意軟體植入開發者系統。獲取訪問權限後，他們使用盜取的憑證強制推送惡意代碼到倉庫中。這個過程包括：
- 開發者系統的攻陷：擺放於擴展中的惡意軟體盜取GitHub存取權杖。
- 強制推送惡意代碼：恶意代碼附加到Python文件中，進行混淆處理，並根據系統區域設定設計執行。負載包括額外步驟用於數據外泄和加密貨幣盜取。
風險評估和合規考量
GlassWorm 行動的影響超出了僅僅技術漏洞，還包括在HIPAA/HITECH法規下的重大合規風險：
- PHI/PII外泄：被攻陷的倉庫可能會導致未經授權訪問和外泄敏感病患資訊，違反HIPAA。
- 侵權通知要求：如果外泄了 PHI，根據HITECH法規，必須在60天內進行侵權通知。不遵守規定可能會導致OCR的重大財務處罰。
遏制策略和建議
为了降低風險並防止未來攻擊，CISO和IT管理員應該採取以下行動：
- 更新GitHub令牌和憑證：定期審閱和更新GitHub令牌以防止未授權訪問。
- 啟用兩步驗證（2FA）：對所有開發者帳戶實施2FA以增強安全性。
- 監控 Repositories 以檢測惡意活動：使用持續監控工具檢測存儲庫中的異常活動。
- 及時應用安全補丁：確保及時應用軟件依賴的安全補丁和更新。
資料表：漏洞統計
| 存儲庫名稱 | 被 compromized 文件數量 | 準確的妥协日期 |
|---|---|---|
| PatientCareApp | 100 | 2026年3月8日 |
| HealthMonitorSDK | 50 | 2026年3月9日 |
| MedicDataSystem | 150 | 2026年3月10日 |
學到的教訓及最佳實踐
GlassWorm運動突顯了以下重要性：
- 精明的擴展管理：定期審閱和更新擴展，以防止未經授權的訪問。
- 安全姿態：保持強大的安全姿態，包括持續監控和威脅檢測機制。
- 漏洞管理：根據CISA的KEV目錄，優先處理已知漏洞的及時修復。
選擇資源
要了解醫療保健領域不斷升高的網絡安全威脅，請參閱這些資源：
MITRE ATT&CK 框架參考
GlassWorm 行動與下列 MITRE ATT&CK 階段對應：
- A1386 – 認證存取：透過恶意擴展程式盜取開發人員認證。
- A1475 – 水平移動：強制推送惡意程式碼至儲存庫。
- E1123 – 資料外泄：下載額外載體進行資料外泄。
CISO 行動清單
✅ 推薦行動：
- 調閱並更新GitHub存取令牌。
- 為所有開發人員帳戶啟用雙因素認證。
- 實施對儲存庫的持續監控以檢測惡意活動。
- 先進先出地應用安全修補程式和更新。