Microsoft расследует утверждение о взломанных репозиториях с исходным кодом

Специалисты компании Microsoft начали расследование утверждений о том, что хакерская группировка Lapsus$ взломала внутренние репозитории исходного кода Azure DevOps и украла данные, сообщает SecurityLab.

Участники Lapsus$ опубликовали в мессенджере Telegram скриншот предполагаемых внутренних репозиториев исходного кода. Снимок экрана относится к репозиторию Azure DevOps, содержащему исходный код для Cortana и различных проектов Bing с именами «Bing_STC-SV», «Bing_Test_Agile» и «Bing_UX». На скриншоте также показаны другие репозитории исходного кода, но неизвестно, что в них содержится.

Группа хакеров также выложила на торрент архив 7zip размером 9 ГБ, содержащий примерно 37 ГБ исходного кода более 250 проектов, которые, по словам хакеров, принадлежат Microsoft. Как отметила Lapsus$, архив содержит 90% исходного кода для Bing и примерно 45% кода для Bing Maps и Cortana.

Как сообщили ИБ-эксперты изданию BleepingComputer, данные представляют собой легитимный внутренний исходный код Microsoft. Кроме того, некоторые из проектов содержат электронные письма и документацию, которые явно использовались внутри компании инженерами Microsoft для публикации мобильных приложений.

Microsoft пока не подтвердила, что их учетная запись Azure DevOps была взломана. Хотя утечка исходного кода облегчает поиск уязвимостей в программном обеспечении компании, Microsoft заверила, что инцидент не создает повышенного риска кибератак.

«У нас в Microsoft есть внутренний подход — использование лучших практик разработки программного обеспечения с открытым исходным кодом и культура, подобная открытому исходному коду, — чтобы сделать исходный код доступным для просмотра в Microsoft. Это означает, что мы не полагаемся на секретность исходного кода для безопасности продуктов, и наши модели угроз предполагают, что злоумышленники знают исходный код», — пояснила Microsoft в своем блоге.