Год назад глава Microsoft Сатья Наделла заверил, что защита данных станет главным приоритетом компании. Но недавняя хакерская атака, связанная с Китаем, показала, насколько трудно выполнить это обещание. Более того, сами антивирусные обновления могли дать хакерам подсказку, как взломать систему. Подробности рассказывает The Wall Street Journal.
Китайские хакеры воспользовались уязвимостями в SharePoint — программной платформе Microsoft для локального хранения документов, не связанной с «облаком», — и проникли в сотни систем по всему миру, включая правительственные структуры США и стран Европы.
Среди пострадавших оказались Минэнерго США, университеты и муниципалитеты.
Microsoft выпустила обновления для двух уязвимостей — так называемые патчи (с английского «заплатки») — в начале июля, однако их быстро обошли. Более того, специалисты предполагают, что сами обновления могли дать хакерам подсказку, как взломать систему.
По данным Eye Security, на зараженных серверах был найден скрипт, открывавший «черный ход» — универсальный ключ для удаленного управления.
Ирония в том, что сам взлом был изначально продемонстрирован в мае на соревновании хакеров Pwn2Own в Берлине: вьетнамский айтишник Динь Кхоа получил 100 000 долларов, показав, как обойти защиту SharePoint. Представители Microsoft тоже присутствовали на мероприятии, получили технические детали и заявили, что «риск эксплуатации в реальных условиях не доказан». На деле же, как выяснилось позже, атаки начались еще до выхода патча 8 июля.
Microsoft понадобилось несколько дней и еще один набор экстренных обновлений, чтобы перекрыть уязвимости. Некоторые эксперты критикуют компанию за многолетнюю стратегию, в рамках которой вопросы безопасности были раздроблены по подразделениям, а многие тестировщики уволены, что сделало продукты уязвимыми — особенно для клиентов без облачных решений.
Сенатор США Рон Уайден заявил, что правительство страны стало заложником компании, которая сама создает уязвимые продукты, а затем зарабатывает миллиарды на продаже «премиальных» решений для их защиты.