Microsoft indaga sulla fuga di exploit di SharePoint legata agli hacker cinesi

Microsoft sta indagando se una fuga dal suo Microsoft Active Protections Program (MAPP)—un sistema di allerta precoce per i partner di cybersecurity—potrebbe aver consentito agli hacker cinesi di sfruttare vulnerabilità non patchate nel suo software del server SharePoint.

L'ultimo patch dell'azienda tecnologica non è riuscito a risolvere completamente una falla critica, esponendo i sistemi del gigante tecnologico a una sofisticata campagna globale di cyber spionaggio.

In un post sul blog martedì, Microsoft ha detto che lo sfruttamento è stato portato avanti da due gruppi affiliati allo stato cinese, Linen Typhoon e Violet Typhoon, insieme a un terzo gruppo, anch'esso presumibilmente basato in Cina.

Microsoft indaga sulla sospetta fuga dal programma di partner di cybersecurity

L'azienda sta ora indagando se i dettagli del suo programma MAPP—condivisi con i partner prima delle rilasci pubblici dei patch—potrebbero essere stati trapelati, accelerando la diffusione di questi attacchi.

Microsoft ha confermato che "valuta continuamente l'efficacia e la sicurezza di tutti i nostri programmi di partner e apporta i miglioramenti necessari come richiesto".

Il Vulnerabilità di SharePoint è venuta alla luce a maggio quando il ricercatore di sicurezza vietnamita Dinh Ho Anh Khoa l'ha dimostrata alla conferenza di cybersecurity Pwn2Own a Berlino, organizzata dalla Zero Day Initiative di Trend Micro. A Khoa è stato assegnato un premio di $100.000 e Microsoft ha emesso un patch iniziale a luglio.

Tuttavia, Dustin Childs, capo della consapevolezza delle minacce presso Trend Micro, ha detto che i partner MAPP erano stati informati della vulnerabilità attraverso tre ondate—24 giugno, 3 luglio e 7 luglio. Coincidenza, Microsoft ha notato che i primi tentativi di exploit sono iniziati il 7 luglio.

Childs ha suggerito che lo scenario più probabile è che «qualcuno del programma MAPP abbia utilizzato quelle informazioni per creare le exploit». Sebbene non abbia nominato alcun fornitore, ha notato che i tentativi di exploit sono originati principalmente dalla Cina, rendendo «ragionevole speculare» che la fuoriuscita di dati provenga da un'azienda di quella regione.

Gli hacker statali cinesi sfruttano una vulnerabilità non patchata di SharePoint

Questa non è la prima volta che Microsoft deve affrontare questo tipo di fuoriuscita di dati correlata al MAPP. Un decennio fa, l'azienda ha rescisso il rapporto con Hangzhou DPTech Technologies Co., Ltd., con sede in Cina, per violazione del patto di riservatezza. Microsoft ammise all'epoca che esistevano rischi e che era consapevole che i dati vulnerabili potessero essere abusati.

Il programma MAPP, lanciato nel 2008, era destinato a fornire ai fornitori di sicurezza un preavviso sui dettagli tecnici delle vulnerabilità — e, occasionalmente, codice di prova di concetto — affinché potessero proteggere meglio i propri clienti. Una violazione e una fuoriuscita di dati ora andrebbero direttamente contro la missione del programma: potenziare i difensori, non gli attaccanti.

Microsoft non ha rivelato se abbia identificato la fonte della fuoriuscita, ma ha sottolineato che qualsiasi violazione del NDA sarebbe presa sul serio.

Le passate violazioni riemergono mentre Microsoft riconsidera l'integrità del programma MAPP

Nel 2021, Microsoft sospettava che almeno altri due partner cinesi del MAPP avessero trapelato informazioni sulle vulnerabilità dei suoi server Exchange. Ciò ha portato a una campagna di hacking globale che Microsoft ha attribuito a un gruppo di spionaggio cinese chiamato Hafnium. È stata una delle peggiori violazioni dell'azienda: decine di migliaia di server Exchange sono stati hackerati, inclusi quelli dell'Autorità Bancaria Europea e del Parlamento norvegese.

Dopo l'incidente 2021, l'azienda ha preso in considerazione la revisione del programma MAPP. Tuttavia, non ha rivelato se siano state apportate modifiche definitive o se siano state scoperte altre fuoriuscite.

Secondo una legge cinese del 2021, le aziende e i ricercatori di sicurezza devono segnalare le vulnerabilità appena scoperte al Ministero dell'Industria e delle Tecnologie dell'Informazione entro 48 ore, secondo un rapporto del Council of the Atlantic. Alcune aziende cinesi ancora coinvolte nel MAPP, come Beijing CyberKunlun Technology Co Ltd., partecipano anche al China National Vulnerability Database — gestito dal Ministero della Sicurezza di Stato — sollevando ulteriori preoccupazioni riguardo agli obblighi di segnalazione doppia.

Eugenio Benincasa, ricercatore presso il Center for Security Studies dell'ETH di Zurigo, sottolinea la mancanza di trasparenza su come le aziende cinesi concilino le regole di riservatezza di Microsoft con gli obblighi di segnalazione allo Stato. «Sappiamo che alcune di queste aziende collaborano con le agenzie di sicurezza e che la gestione delle vulnerabilità in Cina è altamente centralizzata», ha detto. «Questa è un'area che chiaramente necessita di maggiore scrutinio.»