Microsoft investiga vazamento de exploração do SharePoint ligado a hackers chineses

A Microsoft está investigando se um vazamento de seu Microsoft Active Protections Program (MAPP) — um sistema de alerta precoce para parceiros de cibersegurança — pode ter permitido que hackers chineses explorassem vulnerabilidades não corrigidas em seu software de servidor SharePoint.

O último patch da empresa de tecnologia falhou em resolver completamente uma falha crítica, expondo os sistemas do gigante tecnológico a uma campanha sofisticada de espionagem cibernética global.

Em um post no blog na terça-feira, a Microsoft disse que a exploração está sendo realizada por dois grupos afiliados ao estado chinês, Linen Typhoon e Violet Typhoon, junto com um terceiro grupo, também acreditado estar baseado na China.

Microsoft investiga possível vazamento do programa de parceiros de cibersegurança

A empresa está agora investigando se detalhes de seu programa MAPP — compartilhado com parceiros antes do lançamento público de correções — podem ter sido vazados, acelerando a propagação desses ataques.

A Microsoft confirmou que “avalia continuamente a eficácia e a segurança de todos os nossos programas de parceiros e faz as melhorias necessárias conforme o necessário.”

O Vulnerabilidade no SharePoint veio à tula pela primeira vez em maio, quando o pesquisador de segurança vietnamita Dinh Ho Anh Khoa a demonstrou na conferência de cibersegurança Pwn2Own em Berlim, organizada pela Zero Day Initiative da Trend Micro. Khoa recebeu US$ 100.000, e a Microsoft emitiu um patch inicial em julho.

No entanto, Dustin Childs, chefe de conscientização sobre ameaças na Trend Micro, disse que os parceiros do MAPP foram informados sobre a vulnerabilidade em três ondas — 24 de junho, 3 de julho e 7 de julho. Coincidentemente, a Microsoft observou que as primeiras tentativas de exploração começaram em 7 de julho.

Childs sugeriu que o cenário mais provável é que “alguém no programa MAPP usou essas informações para criar as explorações.” Embora não tenha nomeado nenhum fornecedor, ele observou que as tentativas de exploração originaram-se principalmente da China, tornando “razoável especular” que o vazamento veio de uma empresa nessa região.

Hackers apoiados pelo estado chinês exploram vulnerabilidade não corrigida no SharePoint

Esta não é a primeira vez que a Microsoft lida com esse tipo de vazamento relacionado ao MAPP. Uma década atrás, a empresa dispensou a Hangzhou DPTech Technologies Co., Ltd., sediada na China, por violar seu acordo de confidencialidade. A Microsoft admitiu na época que havia riscos e compreendeu que dados vulneráveis poderiam ser abusados.

O programa MAPP, lançado em 2008, tinha como objetivo fornecer aos fornecedores de segurança aviso prévio dos detalhes técnicos das vulnerabilidades — e, ocasionalmente, código de prova de conceito de amostra — para que pudessem proteger melhor seus clientes. Um vazamento agora iria diretamente contra a missão do programa — capacitar defensores, não atacantes.

A Microsoft não divulgou se identificou a origem do vazamento, mas enfatizou que qualquer violação de NDA seria levada a sério.

Vazamentos do passado ressurgem enquanto a Microsoft reconsidera a integridade do programa MAPP

Em 2021, a Microsoft suspeitou que pelo menos outros dois parceiros chineses do MAPP estavam vazando informações sobre vulnerabilidades em seus servidores Exchange. Isso levou a uma campanha de hacking global que a Microsoft atribuiu a um grupo de espionagem chinão chamado Hafnium. Foi uma das piores violações da empresa — dezenas de milhares de servidores de exchange foram hackeados, incluindo na Autoridade Bancária Europeia e no Parlamento Norueguês.

Após o incidente 2021, a empresa considerou revisar o programa MAPP. Mas não divulgou se foram feitas alterações ou se algum vazamento foi descoberto.

De acordo com uma lei chinesa de 2021, empresas e pesquisadores de segurança devem relatar vulnerabilidades recém-descobertas ao Ministério da Indústria e Tecnologia da Informação dentro de 48 horas, segundo um relatório do Conselho do Atlântico. Algumas empresas chinesas ainda envolvidas no MAPP, como a Beijing CyberKunlun Technology Co Ltd., também participam do Banco de Dados Nacional de Vulnerabilidades da China — administrado pelo Ministério da Segurança do Estado — levantando novas preocupações sobre obrigações de relatório duplo.

Eugenio Benincasa, pesquisador do Centro de Estudos de Segurança da ETH Zurich, aponta a falta de transparência sobre como as empresas chinesas reconciliam as regras de confidencialidade da Microsoft com as exigências de relatório estatal. “Sabemos que algumas dessas empresas trabalham com agências de segurança, e a gestão de vulnerabilidades na China é altamente centralizada”, disse ele. “Esta é uma área que claramente precisa de mais escrutínio.”