Una vez más ha sido el grupo Lapsus$ el responsable por un robo de información de un servidor de una gran compañía.
Después de atacar a Nvidia, Samsung y a mercado libre, ahora le ha tocado el turno a Microsoft, y parece que siempre usan la misma técnica, consiguen el login y la contraseña de algún empleado de la empresa para entrar en su infraestructura.
El modus operandi es un clásico. A veces consiguen clonar una SIM para recibir el código SMS necesario para identificarse, otras veces envían varias solicitudes de acceso hasta que el empleado se cansa y acaba poniendo la contraseña buscada… no hay un enorme conocimiento de cómo hackear servidores, usan técnicas para engañar a personas y entrar por la puerta principal. Además de ingeniería social, usan Redline para robar contraseñas y tokens de sesión, o incluso pueden llegar a pagar a empleados para tener acceso a las empresas.
Por mucho que una empresa invierta en cortafuegos, proxys y sistemas avanzados para mantener su sistemas seguros, si no hay educación profunda sobre ingeniería social, no hay nada que hacer. Es como poner cámaras de seguridad en tu casa, puertas de acero y ventanas blindadas, pero si se engaña al portero del edificio, el ladrón entra.
El caso es que en esta ocasión el grupo Lapsus$ hackeó el servidor Azure DevOps de Microsoft y divulgó en Telegram 37 GB de código fuente de más de 250 proyectos de Microsoft, incluyendo el 90% del código fuente del buscador Bing, aunque también hay gran parte de Bing Maps y de Cortana.
Microsoft ya lo ha confirmado, pero informa que nunca han confiado en el secreto del código como medida de seguridad, de forma que no hay «elevación del riesgo».
La actividad que hemos observado se ha atribuido a un grupo de amenazas que Microsoft rastrea como DEV-0537, también conocido como LAPSUS$. DEV-0537 es conocido por usar un modelo puro de extorsión y destrucción sin implementar cargas útiles de ransomware.
Lo que puede pasar ahora es que nazcan proyectos clonando funciones de lo robado, aunque es muy posible que en el código haga llamadas a funciones en la nube sin las cuales el código no pueda ejecutarse correctamente.