安全简讯（2026.05.20）

1. 微软摧毁恶意软件签名服务，斩断勒索软件链条

5月19日，微软近日宣布，已成功破坏一项被追踪为“Fox Tempest”的恶意软件签名即服务（MSaaS）非法运营活动。微软威胁情报报告显示，Fox Tempest是一个以经济利益为驱动的威胁行为者，通过创建数百个Azure租户和订阅，利用微软2024年推出的Azure Artifact Signing平台生成短期有效（72小时）的代码签名证书。这些证书被用于签名包括Oyster、Lumma Stealer、Vidar等恶意软件，以及Rhysida、Akira、INC、Qilin、BlackByte等勒索软件。攻击者将签名后的恶意文件伪装成Microsoft Teams、AnyDesk、PuTTY、Webex等常用软件，诱骗受害者执行。一旦运行，恶意加载程序便会安装伪造签名的恶意载荷，最终部署勒索软件。由于文件拥有微软的有效数字签名，Windows操作系统最初将其识别为合法程序，从而绕过了安全控制。2026年5月，微软数字犯罪部门联合行业合作伙伴，成功破坏了Fox Tempest的基础设施和访问模式，查封了其运营域名，下线数百台相关虚拟机，并阻止了对该犯罪平台的后端访问。微软表示，已撤销所有归因于Fox Tempest的代码签名证书。

https://www.bleepingcomputer.com/news/security/cybercrime-service-disrupted-for-abusing-microsoft-platform-to-sign-malware/

2. 微软披露Storm-2949：滥用合法功能窃取云端数据

5月19日，微软近日曝光了一起代号为Storm-2949的针对性网络攻击行动。该威胁行为者以Microsoft 365和Azure生产环境为目标，大量窃取高价值敏感数据。Storm-2949的攻击链始于社会工程学手段。攻击者针对具有特权角色的用户，如IT人员或高级领导成员，试图获取其Microsoft Entra ID凭证。他们滥用了自助密码重置流程：先为目标账户发起密码重置请求，然后诱骗受害者批准多重身份验证提示。为使骗局更具说服力，黑客伪装成IT支持人员，以紧急验证账户为由要求受害者配合。一旦受害者上当，攻击者便重置密码、移除多重身份验证控制，并在自己的设备上注册Microsoft Authenticator，从而成功劫持账户。进入Microsoft 365环境后，Storm-2949使用Microsoft Graph API和自定义Python脚本枚举用户、角色、应用程序和服务主体，评估长期持久化的机会。随后，他们访问OneDrive和SharePoint，搜索VPN配置、IT操作文件等含有远程访问信息的文档，为横向移动做准备。攻击并未止步于Microsoft 365。Storm-2949进一步扩展至受害者的Azure基础设施，包括虚拟机、存储账户、密钥保管库、应用服务和SQL数据库。

https://www.bleepingcomputer.com/news/security/microsoft-self-service-password-reset-abused-in-azure-data-theft-attacks/

3. 承包商严重失职：CISA核心凭证在GitHub暴露数月

5月19日，一起严重的网络安全事件近日被曝光：为美国网络安全和基础设施安全局（CISA）工作的外部承包商Nightwing，将大量高度敏感的凭证和文件在GitHub公共存储库中暴露了数月之久。该存储库名为“Private-CISA”，创建于2025年11月，直到研究人员发现问题并告知CISA后才被关闭。GitGuardian研究员Guillaume Valadon在扫描公共代码库时发现了这一泄露。泄露的数据涵盖了CISA及其上级机构国土安全部的海量机密信息，包括云密钥、明文密码、令牌、日志，以及CISA内部构建、测试和部署软件的详细文件。其中，一个名为“importantAWStokens”的文件包含了三个AWS GovCloud服务器的管理凭证；另一个名为“AWS-Workspace-Firefox-Passwords.csv”的文件则记录了数十个CISA内部系统的明文用户名和密码。Valadon还发现，该存储库的提交日志显示，CISA管理员竟然禁用了GitHub默认用于阻止用户发布SSH密钥等机密信息的安全设置。更令人震惊的是，承包商对一系列内部资源使用了极易猜到的密码，例如由平台名称和当前年份组成的简单组合。

https://securityboulevard.com/2026/05/cisa-credentials-sensitive-data-exposed-in-github-repository/

4. Shai-Hulud攻击：600余恶意包席卷npm生态系统

5月19日，一场代号为Shai-Hulud的大规模供应链攻击于5月19日席卷npm生态系统。威胁行为者在一小时内向Node包管理器索引发布了639个恶意软件版本，涉及323个不同软件包。受影响的包主要集中在@antv命名空间，包括图表绘制、图形可视化等常用库，此外还有echarts-for-react、timeago.js、size-sensor等知名包也遭到入侵。攻击始于对npm账户“atool”的入侵，该账户负责发布@antv生态下的软件包。本次攻击的有效载荷高度混淆，主要面向开发人员工作站和CI/CD环境，窃取GitHub、npm、云服务、Kubernetes、Docker、数据库及SSH等各类凭据。被盗数据经过序列化、Gzip压缩、AES-256-GCM加密和RSA-OAEP封装后，通过Session P2P网络泄露，在网络层与合法Session应用流量无法区分，极大增加了检测难度。攻击者还利用GitHub作为备用泄露机制：当获取到GitHub凭据时，恶意软件会自动在受害者账户下创建新存储库并上传窃取的数据。截至发稿，该活动已生成至少2900个GitHub恶意存储库。

https://www.bleepingcomputer.com/news/security/new-shai-hulud-malware-wave-compromises-600-npm-packages/

5. 加油站油罐系统遭入侵：工业设备隐患重重

5月19日，美国多个州的加油站自动油罐液位计系统近期疑似遭到黑客攻击，引发了对工业设备网络安全的广泛担忧。据CNN报道，美国官员认为与伊朗有关联的黑客很可能是这一系列入侵事件的幕后黑手。这些自动油罐液位计系统用于监控燃料储存罐，但许多系统无需密码即可在线访问，攻击者可以操纵操作员看到的显示读数，虽然无法改变实际燃油水平，也尚未造成物理损坏，但安全专家指出，仅凭能够篡改监控界面本身就带来了严重的操作和安全隐患。Suzu Labs首席技术官Denis Calderone解释称，真正的威胁在于操作员可能基于被篡改的错误信息做出决策，例如泄漏无法被发现、过量加注被忽略或设备故障被掩盖直至问题实际发生。这一问题并非新近才被发现。早在2015年，安全公司Rapid7就发现超过5800个联网油罐计量器在没有身份验证控制的情况下运行。BitSight等机构的后续研究也表明，大量类似系统至今仍可公开访问。Calderone指出，许多工业监控设备继续使用默认密码或根本不设密码，这是因为它们最初是为隔离环境设计的，在远程互联网访问成为常态之前并未考虑网络安全防护。

https://cybernews.com/security/iran-hackers-target-us-gas-stations/

6. 德国电信用户数据遭叫卖：护照及银行信息疑似泄露

5月19日，近日，一名黑客在地下交易平台声称拥有德国电信的大规模用户数据集并准备出售，引发了人们对身份盗窃和定向欺诈的广泛担忧。德国电信总部位于波恩，是欧洲最大的电信公司之一，在全球拥有超过3亿用户，并持有美国T-Mobile 53%的股份。据研究团队审阅的数据样本显示，攻击者声称窃取的信息包括政府颁发的身份证号码、护照号码、银行账户信息、姓名、出生日期、电话号码、地址，以及订阅ID、资费计划名称、价格和银行账号等。其中，护照号码的泄露尤其危险，将显著增加身份盗窃和定向欺诈的风险。研究人员还发现，部分泄露的电子邮件地址曾出现在较早的历史数据泄露事件中，表明至少有一部分数据可能与以往泄露的记录存在重叠。据称，受影响的不仅包括个人用户，还涉及关联公司和附属公司。研究人员在验证数据真实性时发现了一些相互矛盾的迹象。一方面，所披露的订阅计划和资费信息与德国电信官方网站上的产品信息相符，用户邮箱地址也看似有效；另一方面，部分地址与邮政编码存在不匹配的情况，这令人对数据的完整性产生怀疑。

https://cybernews.com/security/deutsche-telekom-passport-data-leak/