Microsoft responde ao hack do código-fonte da Cortana e do Bing
Um grupo de hackers atingiu a Microsoft, entrando nos repositórios de código-fonte do Azure DevOps e vazando código-fonte para a Cortana e vários outros projetos da Microsoft. É a última rodada de ataques do grupo chamado “LAPSUS$”, que também teve como alvo Nvidia, Ubisoft e outros grandes gigantes da tecnologia.
A atualização mais recente do grupo, que chega em 22 de março, inclui o compartilhamento de um arquivo de 9 GB, que possui código-fonte para 250 projetos da Microsoft. Desses, o grupo afirma ter 90% do código-fonte do Bing e 45% do código-fonte do Bing Maps e da Cortana. Estes são apenas alguns dos dados invadidos, com o arquivo completo com 37 GB de código-fonte da Microsoft.
O código-fonte do Windows e do Office não está incluído no vazamento, de acordo com a Bleeping Computer , que acredita que os arquivos vazados são genuínos. Os arquivos, em vez disso, estão vinculados a aplicativos móveis ou sites e contêm emails e outros documentos usados internamente pelos engenheiros da Microsoft que trabalharam nos projetos.
A Microsoft confirmou o hack em uma postagem no blog , que detalha as ações do grupo LAPSUS$ que rastreia como DEV-0537. No post, a Microsoft disse que os hackers tinham “acesso limitado” ao código-fonte, já que uma única conta foi comprometida. A Microsoft continuou explicando que nenhum código ou dado do cliente estava envolvido nas atividades.
“Nossa investigação descobriu que uma única conta foi comprometida, concedendo acesso limitado. Nossas equipes de resposta à segurança cibernética se envolveram rapidamente para remediar a conta comprometida e evitar mais atividades”, disse a Microsoft.
A empresa também mencionou que não conta com o sigilo do código como medida de segurança e que a visualização do código-fonte não leva à elevação do risco. Isso é semelhante ao que a Microsoft explicou durante a investigação do Solarigate , onde uma conta comprometida foi usada para visualizar o código-fonte, embora não tenha permissão para modificar sistemas de engenharia.
“Nossa equipe já estava investigando a conta comprometida com base na inteligência de ameaças quando o ator divulgou publicamente sua invasão. Essa divulgação pública escalou nossa ação, permitindo que nossa equipe interviesse e interrompesse o ator no meio da operação, limitando o impacto mais amplo”, explicou a Microsoft.
Por mais perigoso que pareça, o grupo de hackers LAPSUS$ não é típico. O grupo está mais interessado em manter o resgate do código-fonte para gigantes da tecnologia para obter lucro. Isso porque os repositórios de código-fonte também podem ter chaves de API e certificados de assinatura de código. A LAPSUS$ fez isso com a Nvidia quando roubou o código DLSS e exigiu que o fabricante da GPU “completamente de código aberto (e distribua sob uma licença FOSS) [seus] drivers de GPU”.
Artigo atualizado em 23 de março com a resposta da Microsoft ao hack LAPSUS$.
