微软调查与黑客相关的SharePoint漏洞泄露

微软正在调查其Microsoft Active Protections Program (MAPP)——一个为网络安全合作伙伴提供早期预警的系统——的泄露是否可能使中国黑客能够利用其SharePoint服务器软件中未修补的漏洞。

微软的最新补丁未能完全解决一个关键缺陷，使这家科技巨头的系统暴露于复杂的全球网络间谍活动中。

微软在周二的一篇博客文章中称，这种利用是由两个与中国国家相关的团体Linen Typhoon和Violet Typhoon以及第三个也被认为位于中国的团体进行的。

微软调查网络安全合作伙伴计划中疑似泄露事件

该公司现在正在调查其MAPP计划中的细节——在公开补丁发布前与合作伙伴共享——是否已被泄露，从而加速了这些攻击的传播。

微软确认它“不断评估所有合作伙伴计划的效率和安全性，并在需要时进行必要的改进。”

The SharePoint漏洞 今年5月，越南安全研究员Dinh Ho Anh Khoa在柏林由Trend Micro的Zero Day Initiative组织的Pwn2Own网络安全会议上展示了这一漏洞，从而首次引起关注。Khoa获得了100,000美元的奖励，微软在7月发布了初步补丁。

然而，Trend Micro威胁意识负责人Dustin Childs表示，MAPP合作伙伴在三个阶段——6月24日、7月3日和7月7日——收到了有关该漏洞的通知。巧合的是，微软指出第一次利用尝试始于7月7日。

Childs认为最可能的情况是“MAPP计划中的某人利用这些信息创建了利用程序。”虽然他并没有指名任何供应商，但他指出利用尝试主要来自中国，因此“合理推测”泄露来自该地区的一家公司。

中国国家支持的黑客利用未修补的SharePoint漏洞

这不是微软第一次处理这种与MAPP相关的泄露。十年前，该公司解雇了总部位于中国的杭州DPTech Technologies Co., Ltd.，因其违反了保密协议。微软当时承认存在风险，并理解易受攻击的数据可能被滥用。

MAPP计划于2008年推出，旨在向安全供应商提供漏洞技术细节的提前通知——有时还包括样本概念验证代码——以便他们更好地保护其客户。现在的泄露直接违背了该计划的任务——赋能防御者，而不是攻击者。

微软尚未披露是否已确定泄露的来源，但强调任何违反NDA的行为都将受到严肃处理。

随着微软重新考虑MAPP计划的完整性，过去的泄露事件重新浮现

2021年，微软怀疑至少另外两名中国MAPP合作伙伴泄露了其Exchange服务器漏洞的信息。这导致了一场全球黑客活动，微软将其归因于一个名为Hafnium的中国间谍组织。这是该公司最严重的泄露事件之一——数万个Exchange服务器被黑客入侵，包括欧洲银行管理局和挪威议会。

在2021事件之后，公司考虑修订 MAPP计划。但它并未披露最终是否进行了任何修改，或是否发现了任何泄露事件。

据大西洋理事会报道，根据2021年中国的一项法律，公司和网络安全研究人员必须在48小时内向工业和信息化部报告新发现的安全漏洞。一些仍参与微软MAPP计划的中国公司，如北京奇安信科技集团股份有限公司，也参与了由国家安全部运营的中国国家漏洞库，这进一步引发了关于双重报告义务的担忧。

苏黎世联邦理工学院安全研究中心的研究员Eugenio Benincasa指出，中国公司在协调微软的保密规定与国家报告义务方面缺乏透明度。“我们知道这些公司中的一些与安全机构有合作，而且中国的漏洞管理高度集中，”他说。“这显然是一个需要更多审查的领域。”