Microsoft расследует утечку эксплойта для SharePoint, связанную с китайскими хакерами

Microsoft расследует, могла ли утечка из ее программы Microsoft Active Protections Program (MAPP) — системы раннего предупреждения для партнеров по кибербезопасности — позволить китайским хакерам эксплуатировать не исправленные уязвимости в программном обеспечении сервера SharePoint.

Последний патч технологической компании не смог полностью устранить критическую уязвимость, оставив системы технологического гиганта открытыми для сложной глобальной кампании кибершпионажа.

В блоге во вторник Microsoft заявила, что эксплуатация осуществляется двумя китайскими группами, связанными с государством, Linen Typhoon и Violet Typhoon, а также третьей группой, которая, как полагают, также базируется в Китае.

Microsoft расследует предполагаемую утечку из программы партнерства в сфере кибербезопасности

Теперь компания расследует, могли ли быть утечки деталей из ее программы MAPP — информации, предоставляемой партнерам до публичного выпуска патчей, — что ускорило распространение этих атак.

Microsoft подтвердила, что «постоянно оценивает эффективность и безопасность всех наших партнерских программ и вносит необходимые улучшения по мере необходимости».

Корпоративные Уязвимость SharePoint стала известна в мае, когда вьетнамский исследователь безопасности Динь Хо Ан Кхоа продемонстрировал ее на конференции по кибербезопасности Pwn2Own в Берлине, организованной Zero Day Initiative от Trend Micro. Кхоа получил награду в размере 100 000 долларов, а Microsoft выпустила первоначальный патч в июле.

Однако Дастин Чайлдс, руководитель направления по осведомленности об угрозах в Trend Micro, заявил, что партнерам по MAPP сообщали об уязвимости в три этапа — 24 июня, 3 июля и 7 июля. Случайно Microsoft отметила, что первые попытки эксплуатации начались 7 июля.

Чайлдс предположил, что наиболее вероятный сценарий заключается в том, что «кто-то в программе MAPP использовал эту информацию для создания эксплойтов». Хотя он не назвал ни одного вендора, он отметил, что попытки эксплуатации в основном исходили из Китая, что делает «разумным предположить», что утечка произошла из компании в этом регионе.

Китайские хакеры, поддерживаемые государством, эксплуатируют не исправленную уязвимость SharePoint

Это не первый раз, когда Microsoft сталкивается с подобной утечкой, связанной с MAPP. Десять лет назад компания расторгла сотрудничество с китайской компанией Hangzhou DPTech Technologies Co., Ltd. за нарушение соглашения о неразглашении. Microsoft признала в то время, что существуют риски и что уязвимые данные могут быть использованы во зло.

Программа MAPP, запущенная в 2008 году, была предназначена для предоставления поставщикам безопасности предварительного уведомления о технических деталях уязвимостей — и, в некоторых случаях, образцах кода proof-of-concept — чтобы они могли лучше защищать своих клиентов. Утечка сейчас прямо противоречит миссии программы — расширению возможностей защитников, а не атакующих.

Microsoft не раскрыла, удалось ли ей выявить источник утечки, но подчеркнула, что любое нарушение NDA будет воспринято серьезно.

Прошлые утечки всплывают, когда Microsoft пересматривает целостность программы MAPP

В 2021 году Microsoft подозревала, что как минимум два других китайских партнера по MAPP утекли информацию об уязвимостях в ее серверах Exchange. Это привело к глобальной хакерской кампании, которую Microsoft приписала китайской шпионской группе Hafnium. Это был один из самых серьезных инцидентов в истории компании — были взломаны десятки тысяч серверов Exchange, включая Европейский банковский орган и норвежский парламент.

После инцидента 2021 компания рассмотрела возможность пересмотра программы MAPP. Но она не раскрыла, были ли в итоге внесены какие-либо изменения или обнаружены ли какие-либо утечки.

Согласно закону Китая 2021 года, компании и исследователи в области безопасности должны сообщать о новых обнаруженных уязвимостях в Министерство промышленности и информационных технологий в течение 48 часов, согласно отчету Атлантического совета. Некоторые китайские фирмы, все еще участвующие в MAPP, такие как Beijing CyberKunlun Technology Co Ltd., также участвуют в Китайской национальной базе данных об уязвимостях — управляемой Министерством государственной безопасности, — что вызывает дополнительные опасения по поводу двойных обязательств по отчетности.

Эудженио Бенинкаса, исследователь Центра исследований безопасности Цюрихского федерального политехнического института (ETH Zurich), указывает на отсутствие прозрачности в том, как китайские компании согласуют правила конфиденциальности Microsoft с государственными требованиями об отчетности. «Мы знаем, что некоторые из этих фирм работают с органами безопасности, и управление уязвимостями в Китае крайне централизовано», — сказал он. «Это область, которая явно требует более тщательного изучения».