Hackergroep Lapsus$ claimt broncode Bing en Cortana te hebben gestolen

De hackergroep Lapsus$ claimt dat het de broncode van Bing en Cortana in handen heeft. De groep zegt dat het Microsoft heeft gehackt, waarbij de hackers naar eigen zeggen 37GB data hebben buitgemaakt. De data zou van een interne Azure DevOps-server komen bij Microsoft.

Lapsus$ maakte zondag bekend dat ze Microsoft hebben gehackt en broncode van onder andere Bing en Cortana in handen hebben gekregen. De groep heeft een deel van de data online gezet en volgens BleepingComputer lijkt in elk geval een deel van de data afkomstig van Microsoft te zijn. Microsoft heeft tegenover BleepingComputer laten weten dat de zaak wordt onderzocht.

De data bevat voornamelijk code en documentatie van Bing en Cortana. Daarnaast zouden de gelekte bestanden ook informatie bevatten over andere projecten bij Microsoft, zoals Bing Maps. Naast de broncode hebben de hackers mogelijk ook interne e-mails en documentatie in handen gekregen. Het lijkt voornamelijk om informatie over mobiele en webapps te gaan. De dataset bevat volgens BleepingComputer geen data van bijvoorbeeld Windows of Microsoft Office.

Het is de tweede hack in korte tijd die Lapsus$ wereldkundig maakt. De hackergroep claimde eerder deze week ook dat het Okta zou hebben gehackt. Het authenticatieplatform heeft bevestigd dat het is getroffen door ransomware. De schade kan mogelijk groot zijn, omdat Okta de beveiliging van andere bedrijven verzorgt. Eerder werden Nvidia en Samsung slachtoffer van de hackersgroep. Ook bij deze hacks werd broncode gestolen en online gezet door Lapsus$

Reacties (54)

[trucker0werner]

Dus eigenlijk door succesvol hack op okta, hebben ze nu toegang tot andere bedrijven gekregen.

Maar wat is het nut van een hack en dan deze data online zetten.
Als hackgroep schiet je daar toch niks mee op

[SunnieNL]

Volgens mij gebruikt Microsoft gewoon hun eigen Azure SSO intern en geen okta?
Ze gebruiken in ieder geval voornamelijk social hacking en proberen via insiders binnen te komen.
Uit https://www.vice.com/en/a...s-extortion-investigating

Earlier this month the group said on its Telegram channel that it was seeking employees inside companies who would be willing to work with them, including Microsoft.
“We recruit employees/insider at the following!!!!,” the group wrote on March 10, followed by a list of sectors such as telecommunications firms, large software or gaming companies, or data hosts. In the message, the group explicitly pointed to Apple, IBM, and Microsoft as companies they would be interested in. “TO NOTE: WE ARE NOT LOOKING FOR DATA, WE ARE LOOKING FOR THE EMPLOYEE TO PROVIDE US A VPN OR CITRIX TO THE NETWORK, or some anydesk,” the message added, describing particular ways that the hackers may be able to access target companies’ networks with the rogue employee’s help.

[regmaster]

Zou een supply chain aanval kunnen zijn. Microsoft is al eerder aangevallen via de SolarWinds hack waarbij broncode van Exchange en Windows server is buitgemaakt. Aanvallers zaten via een lek in MSO365 ook gewoon e-mails mee te lezen van Mircrosoft staff zonder dat deze dat in de gaten hadden want MFA was niet geactiveerd. Ik sta nergens meer verbaasd van te kijken hoe simpel zelfs de grootste bedrijven te hacken zijn. Je moet alleen de juiste ingang weten te vinden en dat kost veel tijd en intel vergaren. En laat tijd nu iets zijn die dat soort lui zat van hebben.

[Coolsaet]

Volgens mij gebruikt Microsoft gewoon hun eigen Azure SSO intern en geen okta?

[...]

Mogelijk dat ze externe (guest) users (ontwikkelaar/consultant/...?) toegevoegd hebben aan een van hun Azure DevOps omgevingen en dat die guest user in zijn omgeving gebruik maakt(e) van Okta?

[Hatsjoe]

Maar wat is het nut van een hack en dan deze data online zetten.
Als hackgroep schiet je daar toch niks mee op

Voor de lulz, voor de reputatie, Microsoft schaden, afpersing die niet gelukt is, zo zijn er tal van redenen. Zo kan je over alles zeggen "Waarom zou je X doen". Het gebeurt nou eenmaal, genoeg redenen om ervoor te zorgen dat iedereen zijn beveiliging op orde moet hebben en niet moet besparen.

[Robert Zomers]

Het is niet duidelijk of de aanval op Okta is verbonden met die op Microsoft. Dus tot er meer details bekend worden, moeten we er vanuit gaan dat het om twee aparte incidenten gaat.

Daarnaast is het een goede vraag wat Lapsus$ precies wil nu het data van Microsoft in handen heeft. Goed om te weten is dat de hackers niet de volledige 37GB online hebben gezet, maar een deel daarvan. Bij andere ransomware-aanvallen heeft de groep wel duidelijke eisen gesteld, zoals bijvoorbeeld bij Nvidia. Het is niet uit te sluiten dat dit ook nog bij Microsoft gebeurt.

[bush]

als ik dit lees, en ook andere bronnen gebruikt Lapsus$ geen randsomware. Tweakers blijft dit melden, maar deze groep lijkt erger te zijn.
Pure vernietiging, omkoping van medewerkers etc

[pven]

Als hackgroep schiet je daar toch niks mee op

Hack in combinatie met afpersing lijkt mij. Zet wat gestolen code op internet, en de kans op betaling is wat groter.

[Groningerkoek]

Het is een vrij jonge groep die op geld uit is door middel van afpersing met datadiefstal en Ddos aanvallen, naar de reden van deze specifieke actie kunnen we alleen maar gissen tot men zelf een statement released. Zelf denk ik dat de groep dit ziet als een manier om haar kunnen te tonen zodat er bij toekomstige slachtoffers van afpersing geen twijfel meer bestaat over waar de groep toe in staat is.

[Scriptkid]

laten zien dat je legietiem grote sp[elers kunt hacken en dus betrouwbaar bent om in te huren voor speciale taken,

Dit soort dingen geven naams bekendheid dus men kan nu in de zwarte markt grof geld gaan vragen voor targeted hacks,

En aangezien ze via insiders werken lijkt het me voor hun heel makkelijk om aan die data te komen,
Vraag is of we uberhaubt van een Hack spreken als je de sleutels wordt overhandigd door een medewerker, Dit lijkt meer op omkoop schandalen dan echt hacken.

[trayracing]

De term 'hacken' klinkt voor mij altijd erg film-achtig, alsof een 1 of ander schimmig figuur op een donkere zolderkamer druk bezig is met allerlei complexe man-in-the-middle achtige zaken - terwijl de werkelijkheid vaak domweg credentials zijn buitgemaakt (zie bijv. dit T+ artikel), of dat een onoplettende Microsoft-medewerker per ongeluk z'n boel heeft laten phishen, en een 2-factor melding onbedoeld heeft goedgekeurd.

Natuurlijk is Microsoft niet onkwetsbaar, net zoals elke andere tech-gigant, maar het geeft mij ondertussen wel een dubbel gevoel t.a.v. de veiligheid van andere Microsoft-diensten (zoals bijv. Microsoft 365). Nu zijn het broncode-gegevens. De volgende keer is het een 1 of andere ms365 engineer wiens gegevens buit worden gemaakt, om vervolgens toegang te krijgen tot complete tenants en deze leeg te trekken.

Hoe dan ook, balen voor Microsoft, en weer een harde les voor de toekomst natuurlijk.

[Yoshi]

Je kan geen tenants leegtrekken met alleen de credentials van een ms engineer. Dan hebben ze alsnog approval van derden nodig. En verder kan je de toegang al volledig ontzeggen door je eigen customer encryption key te gebruiken. Maar dan ook geen support van ms . Het volledige verhaal is genuanceerder, maar met alleen de credentials van een ms engineer kom je er volgens mij niet. Het is volgens mij gemakkelijker om dan je doelwit gewoon rechtstreeks te benaderen

[Reactie gewijzigd door Yoshi op 23 juli 2024 04:22]

[Vorkie]

“Volgens mij” is nou precies het gevaar zit, je maakt een aanname op basis van..?

Ik ga er vanuit dat er multilayer authenticatie nodig is, maar laat nou net Okta mogelijk gehackt zijn, wie weet zit daar nu wel de flaw….

En nee, ook hier is geen bewijs voor :-)

[Yoshi]

Op basis van mijn interpretatie van de documentatie en mijn samenwerking met ms. En het blijft een verhaal van hun documentatie, systeem is niet open source dus vandaar volgens mij.
Dus ja hier is wel degelijk al het één en ander over neer geschreven op msdn en de standaard documentatie van ms . Maar ik praat liever voorzichtig ipv vol overtuiging dat neer te zetten als een feit.

[Reactie gewijzigd door Yoshi op 23 juli 2024 04:22]

[Blokker_1999]

Microsoft engineers kunnen heel weinig zien van jouw tenant. Telkens ik met hen bezig ben, ben ik diegene die van alles logs moet verzamelen, in live sessies mijn scherm moet delen enzoverder gewoon omdat zij geen toegang hebben tot klantendata. Zij weten hoe het moet werken maar hebben geen optie om te zeggen: geef mij even toegang tot dit systeem. En maar goed ook. En dat is uiteraard net om de situatie te voorkomen zoals jij ze omschrijft.

[Zackito]

Nu zijn die Microsoft “engineers” die wij meestal krijgen nou ook niet echt geweldig. Klachten over snelheid van bijvoorbeeld een 365 tenant worden op een manier behandeld waardoor je eigenlijk zelf niet meer verder wil.

Ze vragen logs aan, logs laten zien dat het niet aan het netwerk van de klant ligt, ticket wordt geescaleerd en er worden dan weer om logs gevraagd. Dit blijft dan zo doorgaan en uiteindelijk heb je er zelf geen zin meer in omdat het nergens heen gaat. MS Support gaat je vervolgens stalken omdat je niet snel genoeg reageert en vervolgens sluiten ze gewoon het ticket.

Klant accepteert het dan wel of niet, of stappen bijvoorbeeld volledig af van de Outlook client(wat een bagger is dat geworden zeg).

[MischaBoender]

En hoe vaak krijg je daadwerkelijk een MS Engineer aan de andere kant van de lijn? Volgens mij zijn het meestal externe partijen die in ieder geval de first line support doen.

[Zackito]

Weinig, de echte technische staan soms weken wachtrij voor en dan blijft je aanspreek punt de support engineer. Directe contact is niet mogelijk en je wordt van kastje naar de muur gestuurd, tickets escaleren tussen afdelingen kan niet. Heb jij dus een probleem met Outlook en de uitkomst is dat het niet aan Outlook ligt maar aan Exchange Online kan je dus mooi een nieuw ticket aanmaken en opnieuw beginnen.

[musiman]

Zelf ben ik erg tevreden over de Microsoft Support. Die is in de loop der jaren enorm verbeterd en ze proberen (mij in ieder geval) altijd zo goed mogelijk te helpen, denken mee en in bijna alle gevallen zijn de problemen opgelost. Wat mij betreft mogen andere bedrijven hier een voorbeeld aan nemen.

[bbob]

Geval van de zwakste schakel die er als je met mensen werkt uiteindelijk altijd is. Die schakel heeft men dus schijn baar gevonden.

Je kan ook denken knappe jongens en blij dat het niet de russen waren die hier netwerken gaan platleggen.

[Reactie gewijzigd door bbob op 23 juli 2024 04:22]

[bush]

engineers hebben geen toegang tot klanten data, wat er gestolen is lijkt ook vrij beperkt te zijn zie https://www.microsoft.com...ltration-and-destruction/

[HollowGamer]

It is unknown how the threat actors are breaching these repositories, but some security researchers believe that they are paying corporate insiders for access.

Waarom staat dit niet in artikel? Niet zeggende dat het geen hackers zijn, maar het is wel belangrijk om te benoemen dat er mogelijk spraken is van omkoping.

Hoe dan ook, het is nog altijd schadelijk voor MS. Geen idee hoe je hier tegen te bewapenen. Sommige medewerkers (devers) hebben bijvoorbeeld toegang nodig tot repo's en bij ransomware kan je die bestanden wel via een andere weg binnenhalen (uploaden) zonder auth.

[The Zep Man]

Waarom staat dit niet in artikel? Niet zeggende dat het geen hackers zijn, maar het is wel belangrijk om te benoemen dat er mogelijk spraken is van omkoping.

Social engineering komt in vele vormen. Ook dat is een onderdeel van het repertoire van hackers. Waarom met een stormram op de deur afgaan als je iemand om de sleutel kan vragen?

Het lijkt mij sterk als 'corporatie insider' dat je credentials verkoopt als je weet dat ze gebruikt worden voor zaken die naar jou teruggebracht kunnen worden. Waarschijnlijk zit er dan een component misleiding in. Uiteraard maakt dat het verkopen van credentials niet minder erg, als dat gedaan is.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 04:22]

[Anoniem: 316512]

Tuurlijk maar ook dat staat er niet echt in. En bovendien is het vermoedelijke omkopen echt opmerkelijk, zo vaak hoor je dat niet.

[The Zep Man]

Tuurlijk maar ook dat staat er niet echt in.

Dat komt omdat het speculatie is. Daarom behandel ik het enkel hypothetisch.

Ik vind het niet zo verbazingwekkend dat die opmerking niet wordt overgenomen.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 04:22]

[Robert Zomers]

Dit inderdaad. Als er duidelijk bewijs was van eerdere pogingen van de groep om medewerkers bij bedrijven om te kopen, dan is het een ander verhaal. Nu is het speculatie.

[edeboeck]

Dit inderdaad. Als er duidelijk bewijs was van eerdere pogingen van de groep om medewerkers bij bedrijven om te kopen, dan is het een ander verhaal. Nu is het speculatie.

De quote van @SunnieNL lijkt dat nochtans wel te bevestigen:

quote: https://tweakers.net/nieu...ction=17316484#r_17316484

Volgens mij gebruikt Microsoft gewoon hun eigen Azure SSO intern en geen okta?
Ze gebruiken in ieder geval voornamelijk social hacking en proberen via insiders binnen te komen.
Uit https://www.vice.com/en/a...s-extortion-investigating
Earlier this month the group said on its Telegram channel that it was seeking employees inside companies who would be willing to work with them, including Microsoft.
“We recruit employees/insider at the following!!!!,” the group wrote on March 10, followed by a list of sectors such as telecommunications firms, large software or gaming companies, or data hosts. In the message, the group explicitly pointed to Apple, IBM, and Microsoft as companies they would be interested in. “TO NOTE: WE ARE NOT LOOKING FOR DATA, WE ARE LOOKING FOR THE EMPLOYEE TO PROVIDE US A VPN OR CITRIX TO THE NETWORK, or some anydesk,” the message added, describing particular ways that the hackers may be able to access target companies’ networks with the rogue employee’s help.

[The Zep Man]

[...]
De quote van @SunnieNL lijkt dat nochtans wel te bevestigen:
[...]

Ze adverteerden geïnteresseerd te zijn in die methode, maar dat is geen bewijs dat die methode gebruikt is. Waarschijnlijk is wat jij noemt dan ook de bron van speculatie over hoe de aanval bij Microsoft is uitgevoerd. Dat blijft echter speculatie tot nader onderzoek.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 04:22]

[edeboeck]

[...]Ze adverteerden geïnteresseerd te zijn in die methode, maar dat is geen bewijs dat die methode gebruikt is. Waarschijnlijk is wat jij noemt dan ook de bron van speculatie over hoe de aanval bij Microsoft is uitgevoerd. Dat blijft echter speculatie tot nader onderzoek.

Allicht begrijp je mijn reactie verkeerd: ik claim niet dat de hack zo gebeurd is, wel reageer ik op de vraag van de auteur dat er pogingen zijn ondernomen op deze manier.

[WhatsappHack]

Ik ben benieuwd of Microsoft dan, om het aanvallers moeilijker te maken, het medewerkers gaat verbieden om hun positie te vermelden op LinkedIn.

[Byte]

Het is echt bijzonder dat er zoveel gehackt/gestolen wordt door deze groep. Ik ben enorm benieuwd wat de tech industrie te wachten staat.. Dit zal vast niet het laatste zijn!

[Stijnvi]

Ik vermoed dat dit allemaal te danken is aan de Okta hack
Deze heeft schijnbaar al in januari plaatsgevonden, en er zijn enorm veel bedrijven die gebruik maken van Okta, zoals Microsoft, Google en zelfs de US Department of Justice
Het is dus niet ondenkbaar dat Nvidia en Samsung ook gebruik maken hiervan

Edit: wellicht is gebruiken niet het juiste woord voor Microsoft
Maar er is in ieder geval een intensief partnership tussen Okta en Microsoft
Dus de kans is aanwezig dat Microsoft, of in ieder geval medewerkers van Microsoft gebruik maken van Okta

[Reactie gewijzigd door Stijnvi op 23 juli 2024 04:22]

[Blokker_1999]

Als er nu 1 partij is waarvan ik niet verwacht dat ze Okta gebruiken, dan is het wel MS. Voor SSO hebben zij Azure, net 1 van de grote concurenten van Okta.

[Stijnvi]

Vermoedelijk heeft Okta meer features of betere functionaliteit (ik ben niet zo thuis in de SSO wereld)
Ze zijn namelijk zelfs Azure certified en een Microsoft Gold Partner
Dat is een van de meest intensieve samenwerkingen die je als bedrijf met Microsoft kan hebben

[bonzz.netninja]

MS gold partner krijg je bij een pakje boter. Dat zegt echt niks. Azure certified kan iedereen worden door gewoon een examen te doen.

MS gebruikt geen Okta, dat zou idd nergens op slaan met hun eigen SSO oplossingen.

[Unstable Element]

Ik weet niet precies hoe het met SSO zit, maar in mijn tijd bij een mobiele telecom operator had ik ook een KPN én een Vodafone én een Dutchtone telefoon.
Want als het netwerk er uit klapt moeten bepaalde mensen juist bereikbaar zijn en dat kan dan niet via je eigen netwerk.
Ik kan mij voorstellen dat dit met SSO ook zo werkt als er een probleem met je SSO systeem is wil je niet dat zelfde systeem nodig hebben om toegang te krijgen.

[TheVMaster]

Oke, waar gebruikt volgens jou precies Okta dan? Kan me dat bijna niet voorstellen namelijk. Waarom zouden ze?

[Rendiertje]

Update vanuit Okta:
https://www.okta.com/blog...okta-statement-on-lapsus/

[Patrick22221]

Ok. Maar wat dit artikel interesant zou maken is een stukje uitleg wat hun doel is?

Ze jatten data en zetten dit eigenlijk altijd online ?

Maar het geen wat ze buit maken is niet echt heel geweldig

[tweakorinho]

Ik weet niet, ik ben altijd al erg nieuwsgierig naar waar Cortana heel nieuwsgierig naar is.

[Ocin32]

Soms denk ik wel is dat het internet ooit helemaal op slot gaat, dat lijkt soms de enige manier om dit soort zaken te stoppen en de veiligheid te garanderen van essentiële sectoren. Het is eigenlijk echt een wildwesten geworden, dat was leuk in het begin maar gaat nu eigenlijk nergens meer over..

[Titan_Fox]

Mooi, nu graag patches zodat we die zooi uit Windows kunnen slopen

[mutley69]

De broncode van Bing en Cortana? Wie wil dat nu - niemand gebruikt dat. Of vergis ik me?

[Stranger__NL]

Misschien kunnen we nu bij Cortana zien of ze echt alles meeluisteren en gekoppeld zijn aan advertenties.


Dus dat je enkel praat over een Spaanse vakantie en vervolgens nog dagen lang zonnige bestemmingen in advertenties krijgt... 😳