Microsoft: SolarWinds-hackers hadden toegang tot onze broncode

Hackers die onlangs via SolarWinds-software bij grote bedrijven en overheidsinstellingen wisten in te breken hebben ook broncode van Microsoft-producten ingezien. Het bedrijf zegt dat de aanvallers die niet konden aanpassen.

Bij de hack op Microsoft wisten de hackers wel degelijk informatie buit te maken, schrijft het bedrijf in een blogpost. Microsoft was een van de bedrijven die getroffen waren door de supply-chain-aanval op SolarWinds in december. Bij die aanval wist een groep hackers uit vermoedelijk Rusland in te breken bij verschillende Amerikaanse ministeries, overheidsinstellingen en bedrijven. Dat gebeurde door een update voor netwerkmonitoringsoftware Orion te infecteren. Microsoft zei toen al dat de hackers ook de systemen van dat bedrijf waren binnengedrongen, maar dat daarbij geen informatie was gestolen.

Nu zegt Microsoft na meer onderzoek te hebben gedaan dat de hackers toch wel toegang hadden tot bepaalde gegevens. Het gaat onder andere om de broncode van sommige producten, al zegt het bedrijf niet om welke software het gaat. De hackers zouden verschillende interne accounts hebben overgenomen, waarvan er eentje de broncodes heeft opgezocht. Dat account had volgens Microsoft geen permissies om code aan te passen. Microsoft schrijft niet of die code ook geëxporteerd is.

Microsoft gebruikt naar eigen zeggen een innersource-aanpak voor het schrijven van code. Daardoor kunnen volgens het bedrijf alle medewerkers alle code inzien. "Binnen ons threat model gaan we er vanuit dat hackers onze broncode kunnen inzien", schrijft het bedrijf. Microsoft zegt dat klantgegevens niet gestolen zijn en dat er geen SAML-tokens zijn gestolen zoals dat bij sommige andere SolarWinds-slachtoffers wel gebeurde.

Reacties (63)

[Lagonas]

Ik vind het best apart dat Microsoft zegt dat alle medewerkers broncode kan inzien. Het lijkt me toch niet dat bijvoorbeeld de finance afdeling of de receptie hier bij kan?

[Yoshi]

Ik vind het wel aangename denkwijze. Laat zien dat er best wel een open denkwijze is binnen ms.

[Reactie gewijzigd door Yoshi op 22 juli 2024 22:31]

[Lagonas]

"Microsoft gebruikt naar eigen zeggen een innersource-aanpak voor het schrijven van code. Daardoor kunnen volgens het bedrijf alle medewerkers alle code inzien."

Staat letterlijk in het artikel.

Edit: Reactie waar ik op reageerde is ondertussen veranderd.

[Reactie gewijzigd door Lagonas op 22 juli 2024 22:31]

[Yoshi]

ja klopt, want in het artikel van Tweakers staat : "eentje" en was daardoor wat misleidt. . Was dan ondertussen zelf aan het verder lezen in het MS artikel en terug gegaan naar het Tweakers artikel. en daar staat het idd wel anders. Vandaar dat ik mijn reactie heb verandert :-). Ik ben ook af en toe fout :-)

[Reactie gewijzigd door Yoshi op 22 juli 2024 22:31]

[spoonman]

Ja, maar ik vermoed dat de receptie en de kuisploeg daar niet bij horen.

[Glorix Jim]

Receptie is ook niet blue badge (oftewel geen msft fte)

[Wannial]

Ik denk dat er moet staan, alle medewerkers die aan een project werken. Want ik kan daar toch echt niet bij als medewerker van een andere afdeling

[Kaoh]

als externe met MS medewerker laptop en account in NL kon ik er ook niet bij. na een verzoek wel tot die van ms cms destijds. dus ik geloof wel dat er vrij brede toegang is.

[Glorix Jim]

Ik dan wel weer, vanuit de support afdeling

[Wannial]

Spannend, ik weet eerlijkgezegd even niet wat een pfe hier mee zou moeten. (zelf een csa)

[Glorix Jim]

Vanuit pfe is het heel handig om te hebben, meerdere support cases kunnen fixen door dit inzicht.

[Wannial]

Ja nu ik verder denk, it does make sense.

[AppleFan2007]

Ik weet ook niet of de receptie of financiële medewerkers weten hoe ze er moeten geraken en als ze er geraken door een of andere reden ze weten wat ze er mee kunnen.

[dez11de]

Waarom niet, is bij Linux ook zo.

[downtime]

Waarom niet, is bij Linux ook zo.

Omdat het lekken van broncode wel erg gemakkelijk wordt als iedereen alles kan zien. Linux is gratis en de broncode heeft daarom ook geen financiele waarde maar voor Microsoft is de broncode de basis van het inkomsten model.

[YoMarK]

Beetje een verouderde zienswijze. Microsoft verdient geld met supportcontracten en diensten. Stel als het hier over broncode van Windows, Office(of zelfs office 365, of ander online tools) gaat, natuurlijk kan je er concurrenten iets slimmer mee maken, maar uiteindelijk gaat Microsoft daar niet minder Windows of Office licenties door verkopen aangezien je een licentie koopt voor de support. Dat kan je zelfs zo zien voor software voor thuisgebruik.
Het meest acute probleem zal zijn dat men issues kan opsporen in de broncode en kan exploiten.

[downtime]

Beetje een verouderde zienswijze. Microsoft verdient geld met supportcontracten en diensten. Stel als het hier over broncode van Windows, Office(of zelfs office 365, of ander online tools) gaat, natuurlijk kan je er concurrenten iets slimmer mee maken, maar uiteindelijk gaat Microsoft daar niet minder Windows of Office licenties door verkopen aangezien je een licentie koopt voor de support.

Nou nee. Waarom verdient Microsoft geld met supportcontracten en diensten? Waarom hebben ze geen concurrentie in de markt voor support op Microsoft producten? Omdat zij als enige intieme kennis van het product hebben. Omdat zij de enige met toegang tot de broncode zijn.
In Linux-land kan in principe iedereen die support verlenen. Want toegang tot die kennis is niet exclusief voor een enkel bedrijf.

[YoMarK]

En waarom gaat MS's kennis van de door hen zelf geschreven broncode er op achteruit als hij openbaar is?

[TD-er]

De zaken waarop vooral supportcontracten verkocht worden zijn nu niet echt zaken waarvoor je met inzicht in de broncode ineens veel betere support kunt leveren.
En wanneer dat wel het geval is, dan gaat het om dusdanig specifieke kennis dat die bedrijven die dergelijke support nodig hebben er dan ook vanuit gaan dat hun probleem in een nieuwe patch opgelost is.
Dan heeft het geen zin om een ander bedrijf die support te laten leveren als MS toch de enige is die de patches uit zal moeten brengen.

Concurrentie is ook maar een relatief klein probleem, want wat denk je dat er gebeurt als bekend wordt dat de concurrent onrechtmatig de source code ingezien heeft?

Enige echte probleem lijkt mij dat er zeer doelgericht malware voor geschreven kan worden.

[Reactie gewijzigd door TD-er op 22 juli 2024 22:31]

[wiseger]

Microsoft is de enige die een support patch kan leveren in het geval van problemen. Niemand anders kan beschikken over de broncode en een aanpassing maken om een probleem op te lossen. Diensten en services moet je zien alszijnde Azure, Office 365 en dergelijke. Het installeren en onderhouden/patchen van implementaties bij klanten doet Microsoft overigens niet zelf, dat laat zij over aan partners. Alleen wanneer de software op haar eigen platform gehost wordt, levert Microsoft dergelijke diensten.

[Opvolger]

Redhat verdient toch ook geld. Open source, maar je betaalt voor support en om makkelijk updates te draaien.

[downtime]

Redhat verdient toch ook geld. Open source, maar je betaalt voor support en om makkelijk updates te draaien.

Maar dat is precies wat ik bedoel. Open source, bouwen ook hun eigen distributie zodat ze niet 1001 verschillende Linux-varianten hoeven te supporten maar alleen die ene die ze door en door kennen, en kunnen zo geld verdienen. Maar aan de andere kant: Hun concurrenten kunnen exact hetzelfde doen. Red Hat heeft niets unieks in handen wat een ander bedrijf niet kan nadoen.

[Opvolger]

Helemaal mee eens. Toch zijn ze een van de grootste. Zo zou Microsoft ook 1 van de grootste blijven ook al gooien ze het Windows platform source code online. Ze verdienen nu al amper aan hun besturingssystemen, ze verdienen aan de cloud. Hun missie is het ecosysteem goedkoop houden, zodat ontwikkelaars op dotnet blijven zitten en ze "dus" voor Azure kiezen. Maar wat hier boven al genoemd wordt, ook niet goed bedoelde mensen kunnen misbruik maken van source code. Helemaal als deze al meer dan 20 jaar intern is gehouden.

[mk1311]

Kleine toevoeging, De bron code voor MS is voor alle medewerkers beschikbaar en voor leveranciers die het nodig hebben om drivers te schrijven en voor nog genoeg andere groepen waardoor het nu 'lekker' geen verschil meer zal maken, degene die de broncode nodig hebben voor exploits hadden het al en zeker op het niveau van deze hack.
Zoals je zegt MS verdient aan support en het aanbieden van een totaal geintegreert software pakket, een pakket dat zo groot en complex is dat zelfs met de broncode het kopiëren ervan niet een reële optie is, veel succes gewenst aan de Open Source developer die naast zijn vaste baan de fork van Windows gaat onderhouden

[field33P]

Ik denk eerder dat er gedoeld wordt op het Office-team wat bij de Windows-broncode kan en vice versa. Als de een een bug vindt in de ander kunnen ze een suggestie aandragen om het te fixen.

[HollowGamer]

Microsoft gebruikt naar eigen zeggen een innersource-aanpak voor het schrijven van code. Daardoor kunnen volgens het bedrijf alle medewerkers alle code inzien. "Binnen ons threat model gaan we er vanuit dat hackers onze broncode kunnen inzien", schrijft het bedrijf.

Ik dacht toch ook dat bepaalde landen toegang hadden tot de broncode? Als ik mij niet vergist kan de VS dit inzien, maar had ik ook gelezen over andere (grote) landen waar onder Rusland en China.

We moeten MS maar op hun woorden geloven, maar ik vind het vreemd dat er toevallig alleen met één read-only account zou zijn gewerkt door de hackers, terwijl ik aanneem dat deze tool ook draait op systemen met write-access naar de broncode?

[Reactie gewijzigd door HollowGamer op 22 juli 2024 22:31]

[GeoBeo]

[...]
Ik dacht toch ook dat bepaalde landen toegang hadden tot de broncode? Als ik mij niet vergist kan de VS dit inzien, maar had ik ook gelezen over andere (grote) landen waar onder Rusland en China.

We moeten MS maar op hun woorden geloven, maar ik vind het vreemd dat er toevallig alleen met één read-only account zou zijn gewerkt door de hackers, terwijl ik aanneem dat deze tool ook draait op systemen met write-access naar de broncode?

Waarom zou je write-access willen? Je kunt nu als hacker op je gemakje de broncode van verschillende software (mogelijk inclusief Windows 10) doorspitten om nieuwe exploits te vinden.

Als je al write-access zou willen om exploits te implementeren in bestaande broncode, dan kun je die op die manier alsnog krijgen. Gewoon opnieuw naar binnen gaan via andere software waar je de broncode nu van hebt.

Ik ben persoonlijk nieuwsgierig naar iets waar we waarschijnlijk nooit achter zullen komen: is het lek in netwerkmonitoringsoftware Orion onder druk van de NSA expres en bewust geïmplementeerd? Zo niet: was dit lek al bekend en werd het actief misbruikt door de NSA en alle x-eyes die daarbij horen? Was dit door Rusland ingekocht software van NSO group? Als het antwoord op 1 van die vragen "ja" is, dan gaan we in de toekomst nog heeeeeeeeeeel veel van dit soort kraken zien.

PS: ik neem niet blindelings aan dat Rusland hierachter zit. Het zou kunnen, maar het is ook gewoon heel makkelijk om bij elke hack te claimen dat Rusland erachter zit om de schijn te wekken dat alleen "een grote partij" binnen kan komen.

[Reactie gewijzigd door GeoBeo op 22 juli 2024 22:31]

[Atomsk]

Ik ben persoonlijk nieuwsgierig naar iets waar we waarschijnlijk nooit achter zullen komen: is het lek in netwerkmonitoringsoftware Orion onder druk van de NSA expres en bewust geïmplementeerd? Zo niet: was dit lek al bekend en werd het actief misbruikt door de NSA en alle x-eyes die daarbij horen? Was dit door Rusland ingekocht software van NSO group? Als het antwoord op 1 van die vragen "ja" is, dan gaan we in de toekomst nog heeeeeeeeeeel veel van dit soort kraken zien.

PS: ik neem niet blindelings aan dat Rusland hierachter zit. Het zou kunnen, maar het is ook gewoon heel makkelijk om bij elke hack te claimen dat Rusland erachter zit om de schijn te wekken dat alleen "een grote partij" binnen kan komen.

Je kunt allerlei vragen stellen, maar tenzij je meer bewijs hebt lijken me opzettelijke backdoors en false flag operations altijd wat vergezocht. Wanneer je uit het raam kijkt en je ziet een verkeersongeluk gebeuren, dan zou het ook kunnen dat dit opzettelijk is gepland om <vul maar iets in>. Het is echter heel wat waarschijnlijker dat het gewoon een ongeluk is.

De NSA is gericht op buitenlandse bedreigingen. Het bespioneren van de eigen burgers of door backdoors kwetsbaar maken van Amerikaanse bedrijven zou een enorm schandaal veroorzaken. Lijkt me allemaal niet erg plausibel.

[Verwijderd]

Lijkt mij ook zeer onwaarschijnlijk, in de praktijk daarin tegen blijkt het vrij gebruikelijk.

https://www.bbc.com/news/technology-54013527

https://www.vpngids.nl/ni...zamelt-data-over-burgers/

[oltk]

Ik heb voor de lol jouw links even bekeken.
Hier gaat het om surveillance van burgers en organisaties die een gevaar voor de USA als staat kunnen vormen. Het grote schandaal hier was dat dit geheel buiten regering / congres en burgerorganisaties om ging. De zogenaamde "staat binnen een staat" of eigenlijk geheel doorgeschoten controledenken. Maar wel volgbaar, want ze (we) willen van de ongekende burger meer informatie hebben.

De Solarwinds hack gaat om het binnendringen van de staatsonderdelen zelf en bedrijven die security regelen. Dan kan je zeggen: de staat binnen de staat schiet nog verder door. Alleen vraag ik me dan af wat voor meerwaarde het heeft als een zeer klein clubje, buiten medeweten van (collega)overheden om de andere overheden gaat bespioneren. Dat je je eigen staatsgeheimen gaat afkijken is idioot en dient geen te bedenken doel.

Het argument dát het gebeurd bij burgers is geen argument dat het gebeurd voor eigen instanties. Het dient namelijk geen doel.

edit: eigenlijk ben ik best teleurgesteld en bedroefd dat ik op mijn laatste "safe haven" van het rationele en logische denken ook al de voedingsbodem van complotdenken tegenkom.

edit 2: ok. eens met de onderstaande opmerking. Binnen het domein van surveillance van burgers dan.

[Reactie gewijzigd door oltk op 22 juli 2024 22:31]

[Verwijderd]

Ik reageerde op het bericht voor mij waarin het volgende gesteld wordt:

De NSA is gericht op buitenlandse bedreigingen. Het bespioneren van de eigen burgers of door backdoors kwetsbaar maken van Amerikaanse bedrijven zou een enorm schandaal veroorzaken. Lijkt me allemaal niet erg plausibel.

____

Dat is dus precies wat de NSA en MIVD wel doen.

[Atomsk]

De MIVD niet. Je haalt het leger en de MIVD door elkaar. Die laatste verzameld info, maar niet over Nederland, maar over andere staten. Dat het leger laatst in opspraak kwam is omdat het niet hun taak is om info te verzamelen en ze daarop terecht werden gewezen. Lijkt me een eenmalige misser en niet een "het gebeurt, dus het gebeurt altijd" wat jij ervan probeert te maken. Idem voor de NSA.

[Verwijderd]

Ik ga er van uit dat dit gewoon een trol reactie is, ooit de omvang van heel het tap gebeuren gezien waar Snowden als klokkenluider functioneerde?

AIVD en MIVD misbruiken sleepwet?
https://www.volkskrant.nl...-toezichthouder~b8a13e41/

Door een truc toe te passen en de hele dataset als ‘relevant’ te beoordelen, inclusief de data van duizenden personen die geen doelwit zijn, verlengen de diensten ‘kunstmatig’ de bewaartermijn.

Maar dat zijn natuurlijk allemaal op zich staande incidenten.

[The Reeferman]

lijken me opzettelijke backdoors en false flag operations altijd wat vergezocht.
De NSA is gericht op buitenlandse bedreigingen. Het bespioneren van de eigen burgers of door backdoors kwetsbaar maken van Amerikaanse bedrijven zou een enorm schandaal veroorzaken. Lijkt me allemaal niet erg plausibel.

Je hebt blijkbaar de klokkenluiders William(Bill) Binney(NSA), Snowden(NSA contractor) en de Vault 7 publicatie van Wikileaks(false flag/attribution) gemist? Alles wat je "niet erg plausibel" en "altijd wat vergezocht" vind is daar in terug te vinden als onderdeel van de standaard capaciteiten van de NSA(en voor vault 7 de CIA)

[dasiro]

"gewoon" nog eens ff binnen geraken, maar dan via een andere manier is erg onwaarschijnlijk. Dit is vaak een unieke kans die zich niet nog snel voor doet. Gewoon al toegang krijgen tot microsoft-code is slechts weggelegd voor een zeer select groepje van bedrijven en overheden, Write-access in microsoft-code is zowat de holy grail gezien het marktaandeel en de impact die je kan hebben wereldwijd.

[Tozz]

Volgens mij kan iedereen bij Microsoft onder stricte begeleiding en controle de broncode inzien, tegen betaling.

[Raul Pesch]

Het klopt inderdaad dat Microsoft de broncode van haar software inzichtelijk maakt voor sommige klanten. Dit programma heet het Shared Source Initiative en bestaat sinds 2001, een periode waar Open Source sterk in opkomst kwam: https://www.microsoft.com/en-us/sharedsource/
https://en.wikipedia.org/wiki/Shared_Source_Initiative

[batjes]

Nederland is ook 1 van de landen met toegang tot Microsoft's broncode, we waren (na de VS) 1 van de eerste die dat kregen.

[Wildfire]

Ik kan me indenken dat ze source code van Windows hebben ingezien. Dat ze niets hebben kunnen aanpassen is weliswaar mooi, maar met toegang tot de broncode zou natuurlijk wel makkelijk naar exploits gezocht kunnen worden.

Jammer dat Microsoft niet durft te zeggen welke source codes zijn bekeken...

[J_van_Ekris]

Gezien de omvang en complexiteit van de producten is dat letterlijk zoeken naar een speld in een hooiberg. Denk niet dat je daar echt wat aan hebt, tenzij je weet wat je zoekt.

[kimborntobewild]

Denk niet dat je daar echt wat aan hebt, tenzij je weet wat je zoekt.

En dat is precies wat black hat hackers weten.
Maar als het goed is, steekt de source zo in elkaar dat er geen exploits mogelijk zijn. Alleen we weten natuurlijk allemaal dat er in ongeveer elke 100 software regels een fout wordt gemaakt...

[Reactie gewijzigd door kimborntobewild op 22 juli 2024 22:31]

[J_van_Ekris]

En dat is precies wat black hat hackers weten.

De weg vinden in andermans code is best lastig, zeker als je niemand hebt die bereid is het je uit te leggen en de documentatie wellicht ook buiten bereik is.

Maar als het goed is, steekt de source zo in elkaar dat er geen exploits mogelijk zijn. Alleen we weten natuurlijk allemaal dat er in ongeveer elke 100 software regels een fout wordt gemaakt...

Industrie-statistieken (Capers-Jones) laten zien dat het aantal fouten dat het veld bereikt van nieuw geschreven Operating System broncode (i.e. defect density) veel gezonder is: gemiddeld een fout per KLoc. En die statistiek is van 20 jaar geleden, zonder veel analysetools die we nu wel hebben. Bovendien is veel code is al decennia in gebruik en actief onderhoud: de code wordt daar aanzienlijk beter van dan de "1 fout per 100 regels code".

[Reactie gewijzigd door J_van_Ekris op 22 juli 2024 22:31]

[Peter F]

Ik vind het nog al vaag wat MS verteld. Ik begrijp niet waarom ze niet aangeven om welke software het gaat. Inzien of kopiëren lijkt me hetzelfde, dus ik ga er vanuit dat deze broncode nu ergens is waar deze niet thuis hoort.

Eenmaal een broncode van een product geeft dat natuurlijk de gelegenheid om deze te onderzoeken, en eventueel lekken in te vinden die dan weer misbruikt kunnen worden.

[J_van_Ekris]

Ja, maar aangezien wijzigen ook kan betekenen dat men dezelfde truc kan hanteren als SolarWinds (vertrouwde executables injecteren om zo via een vertrouwde supply chain binnen te komen bij partijen), kan dat wel eens het hogere doel geweest zijn. Ik hoop/verwacht dat Microsoft hier haar veratwoordelijkheid pakt en veel code changes gaat dubbelchecken.....

[EraYaN]

Het gaat waarschijnlijk gewoon om alles, en dat is dan ook de beste verdediging want dat is nogal veel binnen Microsoft. Binnen MS kan iedereen bij alle source code.

[SuperDre]

Vakt wel mee hoor, voor lekken te vinden gaat sowieso vaak meer geautomatiseerd, en daarvoor heb je de originele code niet nodig, decompile geeft je sowieso toegang tot die 'code'.

[kimborntobewild]

Ik begrijp niet waarom ze niet aangeven om welke software het gaat.

Omdat het vertrouwen in die software dan natuurlijk een knauw krijgt.

[DJ_Clean]

Zag dit gisteravond voorbij komen in een thread (van Jake Williams). Daar werd ook gelijk aangehaald hoe MS zijn coding practices doet (eigenlijk met de gedachte van: Code kan openbaar worden):

https://threadreaderapp.com/thread/1344759726886813699.html

Zeker wel interessant om door te lezen

[deadlock2k]

Voor meer informatie over Inner Source, zie deze blogpost van een Microsoft-medewerker: https://devblogs.microsof...source-with-azure-devops/

[rookie no. 1]

Zijn ze eindelijk 'Open source'!

Dit is natuurlijk wel zorgelijk nieuws en ben benieuwd wat we hier komende jaren van gaan merken.

[smolders2007]

Aangezien Microsoft een wereldwijde firma is vind ik het ook weer geen probleem dat iedereen toegang heeft tot hun broncode als ze het al openlijk toegeven dat de NSA die ook heeft.

[techcode]

Tuurlijk het is alleen IT personeel zoals software ontwikkelaars, toch?!?

En het hebben van (lees maar niet schrijf) toegang tot projecten code van andere teams is gebruikelijk, behalve misschien overheidsbeperkingen zoals codering/encryptie.

PS. Nog steeds aan het verbeteren van het Nederlands, voel je vrij om woorden en grammatica te corrigeren

[ijdod]

Ik verbaas me vooral dat Microsoft uberhaupt SW gebruikt, eigenlijk...