Microsoft investiga la filtración de una vulnerabilidad de SharePoint vinculada a hackers chinos

Microsoft está investigando si una filtración de su Programa de Protecciones Activas de Microsoft (MAPP, por sus siglas en inglés) —un sistema de alerta temprana para socios de ciberseguridad— pudo haber permitido a hackers chinos explotar vulnerabilidades sin parchear en su software de servidor SharePoint.

El último parche de la empresa tecnológica no logró resolver por completo una vulnerabilidad crítica, exponiendo los sistemas del gigante tecnológico a una sofisticada campaña global de espionaje cibernético.

En una publicación de blog el martes, Microsoft dijo que la explotación está siendo llevada a cabo por dos grupos afiliados al Estado chino, Linen Typhoon y Violet Typhoon, junto con un tercer grupo, también se cree que está basado en China.

Microsoft investiga una posible filtración del programa de socios de ciberseguridad

La empresa está ahora investigando si detalles de su programa MAPP —compartido con socios antes de los lanzamientos públicos de parches— pudieron haber sido filtrados, acelerando la propagación de estos ataques.

Microsoft confirmó que «evalúa continuamente la eficacia y seguridad de todos nuestros programas de socios y realiza las mejoras necesarias según sea necesario».

El Vulnerabilidad de SharePoint se dio a conocer por primera vez en mayo cuando el investigador de seguridad vietnamita Dinh Ho Anh Khoa la demostró en la conferencia de ciberseguridad Pwn2Own en Berlín, organizada por la Iniciativa de Día Cero de Trend Micro. Khoa recibió un premio de 100.000 dólares y Microsoft emitió un parche inicial en julio.

Sin embargo, Dustin Childs, jefe de concienciación sobre amenazas en Trend Micro, dijo que los socios de MAPP habían sido informados de la vulnerabilidad en tres oleadas: el 24 de junio, el 3 de julio y el 7 de julio. Coincidentemente, Microsoft señaló que los primeros intentos de explotación comenzaron el 7 de julio.

Childs sugirió que el escenario más probable es que «alguien en el programa MAPP utilizara esa información para crear las explotaciones». Aunque no nombró a ningún proveedor, señaló que los intentos de explotación se originaron principalmente desde China, lo que hace «razonable especular» que la filtración provino de una empresa en esa región.

Hackers respaldados por el Estado chino explotan una vulnerabilidad sin parchear en SharePoint

Esta no es la primera vez que Microsoft ha lidiado con este tipo de filtraciones relacionadas con MAPP. Hace una década, la empresa despidió a Hangzhou DPTech Technologies Co., Ltd., con sede en China, por violar su acuerdo de confidencialidad. Microsoft admitió en ese momento que existían riesgos y comprendía que los datos vulnerables podrían ser abusados.

El programa MAPP, que debutó en 2008, tenía como objetivo proporcionar a los proveedores de seguridad un aviso anticipado de los detalles técnicos de las vulnerabilidades —y, en ocasiones, código de prueba de concepto— para que pudieran proteger mejor a sus clientes. Una filtración de brecha ahora iría directamente en contra de la misión del programa: empoderar a los defensores, no a los atacantes.

Microsoft no ha revelado si ha identificado la fuente de la filtración, pero enfatizó que cualquier violación del acuerdo de confidencialidad se tomaría en serio.

Filtraciones pasadas resurgen mientras Microsoft reconsidera la integridad del programa MAPP

En 2021, Microsoft sospechó que al menos otros dos socios chinos de MAPP filtraron información sobre vulnerabilidades en sus servidores Exchange. Esto llevó a una campaña de hacking global que Microsoft atribuyó a un grupo de espionaje chino llamado Hafnium. Fue una de las peores filtraciones de la firma: decenas de miles de servidores de Exchange fueron hackeados, incluidos los de la Autoridad Bancaria Europea y el Parlamento noruego.

Después del incidente 2021, la empresa consideró revisar el programa MAPP. Pero no reveló si se hicieron cambios al final, o si se descubrieron filtraciones.

Según un informe del Consejo Atlántico, bajo una ley china de 2021, las empresas e investigadores de seguridad deben reportar las vulnerabilidades recién descubiertas al Ministerio de Industria y Tecnología de la Información dentro de las 48 horas. Algunas empresas chinas aún involucradas en MAPP, como Beijing CyberKunlun Technology Co Ltd., también participan en la Base de Datos Nacional de Vulnerabilidades de China —gestionada por el Ministerio de Seguridad del Estado—, lo que genera mayores preocupaciones sobre las obligaciones de doble reporte.

Eugenio Benincasa, investigador del Centro de Estudios de Seguridad de ETH Zurich, señala la falta de transparencia en cómo las empresas chinas reconcilian las reglas de confidencialidad de Microsoft con los mandatos de reporte estatal. «Sabemos que algunas de estas empresas trabajan con agencias de seguridad, y la gestión de vulnerabilidades en China es altamente centralizada», dijo. «Esta es un área que claramente necesita más escrutinio».