¿Te acuerdas del grupo de hackers llamados Lapsus$?, pues resulta que este grupo ha anunciado que han violado un repositorio de la compañía Microsoft en donde supuestamente se han hecho con el código fuente de Bing y de Cortana.
El grupo de hackers llamado Lapsus$ se han encargado de comprometer información delicada de compañías como Samsung, Mercado Libre, Nvidia etc. Ahora parece que es el turno de Microsoft, sin embargo, hasta el momento los Redmond no se han pronunciado a este hecho.
El código de Cortana y de Bing ha podido ser robado
Al parecer Lapsus$, ha ingresado a los servidores de Azure DevOps desde donde habrían extraído el código fuente del buscador de Microsoft, Bing y su asistente virtual, Cortana.
Tal y como podemos ver en la imagen superior, se muestra un repositorio de Azure DevOps que contiene el código fuente de Cortana y varios proyectos de Bing, llamados ‘Bing_STC-SV’, ‘Bing_Test_Agile’ y «Bing_UX». Además la captura de pantalla muestra otros repositorios con código fuente que hasta el momento se desconoce para que son.
Microsoft habría anunciado que está al tanto y que está investigando el incidente. Sin embargo, según lo que ha sucedido en el pasado, tales violaciones generalmente no parecen preocupar demasiado a la compañía, por lo que no representaría un riesgo.
¿Es una mala noticia el robo de estos códigos?
En algunos casos si, ya que cuando un pirata informático se hace con el código fuente de una plataforma se le es más fácil poder encontrar sus vulnerabilidades, sin embargo, Microsoft ha declarado que aunque el código fuente haya sido robado no representa un alto riesgo.
Microsoft dice que su modelo de amenazas asume que los actores de amenazas ya entienden cómo funciona su software, ya sea a través de ingeniería inversa o filtraciones de código fuente anteriores.
En Microsoft, tenemos un enfoque de código fuente interno: el uso de las mejores prácticas de desarrollo de software de código abierto y una cultura similar al código abierto, para hacer que el código fuente sea visible dentro de Microsoft. Esto significa que no confiamos en el secreto del código fuente para la seguridad de los productos, y nuestros modelos de amenazas asumen que los atacantes tienen conocimiento del código fuente», explicó Microsoft en una publicación de blog sobre los atacantes de SolarWinds que obtienen acceso a su código fuente .
Continuo diciendo:
Entonces, ver el código fuente no está vinculado a la elevación del riesgo.
Sin embargo, los repositorios de código fuente también suelen contener tokens de acceso, credenciales, claves de API e incluso certificados de firma de código, los cuales se podrían utilizar para distribuir malware, como es el caso de los datos obtenidos de Nvidia.