Microsoft untersucht Leck von SharePoint-Exploit, das mit chinesischen Hackern in Verbindung gebracht wird

Microsoft ermittelt, ob ein Leck aus seinem Microsoft Active Protections Program (MAPP) – einem Frühwarnsystem für Cybersicherheitspartner – chinesischen Hackern ermöglicht haben könnte, unpatchte Schwachstellen in seiner SharePoint-Server-Software auszunutzen.

Der neueste Patch des Technologieunternehmens konnte nicht vollständig beheben einen kritischen Fehler, der die Systeme des Tech-Riesen einer ausgeklügelten globalen Cyber-Spionagekampagne aussetzte.

In einem Blogbeitrag am Dienstag sagte Microsoft, dass die Ausnutzung von zwei chinesischen staatsaffilierten Gruppen, Linen Typhoon und Violet Typhoon, sowie einer dritten Gruppe, die ebenfalls in China ansässig zu sein scheint, durchgeführt wird.

Microsoft untersucht vermutetes Leck aus Cybersicherheits-Partnerprogramm

Das Unternehmen ermittelt nun, ob Details aus seinem MAPP-Programm – das vor der öffentlichen Veröffentlichung von Patches mit Partnern geteilt wurden – möglicherweise geleakt wurden, was die Ausbreitung dieser Angriffe beschleunigte.

Microsoft bestätigte, dass es „die Wirksamkeit und Sicherheit aller unserer Partnerprogramme kontinuierlich bewertet und die notwendigen Verbesserungen nach Bedarf vornimmt.“

Die SharePoint-Schwachstelle kam erstmals im Mai ans Licht, als der vietnamesische Sicherheitsforscher Dinh Ho Anh Khoa sie auf der Pwn2Own-Cybersicherheitskonferenz in Berlin vorstellte, die von der Zero Day Initiative von Trend Micro organisiert wurde. Khoa erhielt 100.000 US-Dollar, und Microsoft veröffentlichte im Juli einen ersten Patch.

Dustin Childs, Leiter der Bedrohungsbewusstsein bei Trend Micro, sagte jedoch, dass MAPP-Partner über die Schwachstelle in drei Wellen informiert wurden – am 24. Juni, 3. Juli und 7. Juli. Zufälligerweise bemerkte Microsoft, dass die ersten Exploit-Versuche am 7. Juli begannen.

Childs schlug vor, dass das wahrscheinlichste Szenario ist, dass „jemand im MAPP-Programm diese Informationen verwendet hat, um die Exploits zu erstellen.“ Während er keinen Anbieter nannte, bemerkte er, dass die Exploit-Versuche größtenteils aus China stammten, was es „vernünftig erscheinen lässt“ zu spekulieren, dass das Leck von einem Unternehmen in dieser Region stammt.

Chinesische staatlich unterstützte Hacker nutzen unpatchte SharePoint-Schwachstelle aus

Dies ist nicht das erste Mal, dass Microsoft mit dieser Art von MAPP-bezogenem Leck zu tun hatte. Vor einem Jahrzehnt entließ das Unternehmen das in China ansässige Hangzhou DPTech Technologies Co., Ltd., weil es gegen seine Geheimhaltungsvereinbarung verstoßen hatte. Microsoft gab damals zu, dass es Risiken gab und verstand, dass anfällige Daten missbraucht werden könnten.

Das MAPP-Programm, das 2008 eingeführt wurde, sollte Sicherheitsanbietern eine Vorwarnung über die technischen Details von Schwachstellen – und gelegentlich Beispiel-Proof-of-Concept-Code – geben, damit sie ihre Kunden besser schützen konnten. Ein geleakter Verstoß würde direkt gegen die Mission des Programms verstoßen – Verteidiger zu stärken, nicht Angreifer.

Microsoft hat nicht bekannt gegeben, ob es die Quelle des Lecks identifiziert hat, betonte jedoch, dass jeder NDA-Verstoß ernst genommen würde.

Vergangene Verletzungen tauchen wieder auf, während Microsoft die Integrität des MAPP-Programms überdenkt

Im Jahr 2021 vermutete Microsoft, dass mindestens zwei andere chinesische MAPP-Partner Informationen über Schwachstellen in seinen Exchange-Servern geleakt hatten. Dies führte zu einer globalen Hacking-Kampagne, die Microsoft einer chinesischen Spionagegruppe namens Hafnium zuschrieb. Es war einer der schlimmsten Verletzungen des Unternehmens – Zehntausende von Exchange-Servern wurden gehackt, darunter auch die Europäische Bankenaufsichtsbehörde und das norwegische Parlament.

Nach dem 2021 Vorfall überdachte das Unternehmen die MAPP-Programm. Es wurde jedoch nicht bekannt gegeben, ob letztendlich Änderungen vorgenommen wurden oder ob Lecks entdeckt wurden.

Nach einem chinesischen Gesetz aus dem Jahr 2021 müssen Unternehmen und Sicherheitsforscher neu entdeckte Schwachstellen innerhalb von 48 Stunden dem Ministerium für Industrie und Informationstechnologie melden, so ein Bericht des Atlantic Council. Einige chinesische Firmen, die noch am MAPP beteiligt sind, wie Beijing CyberKunlun Technology Co Ltd., nehmen auch an der China National Vulnerability Database teil – betrieben vom Ministerium für Staatssicherheit – was weitere Bedenken hinsichtlich der doppelten Meldepflichten aufwirft.

Eugenio Benincasa, ein Forscher am Center for Security Studies der ETH Zürich, weist auf den Mangel an Transparenz hin, wie chinesische Unternehmen die Vertraulichkeitsregeln von Microsoft mit staatlichen Meldepflichten in Einklang bringen. „Wir wissen, dass einige dieser Firmen mit Sicherheitsbehörden zusammenarbeiten, und Chinas Schwachstellenmanagement ist hochgradig zentralisiert“, sagte er. „Dies ist ein Bereich, der eindeutig mehr Aufmerksamkeit benötigt.“