A campanha massiva de hackers do Microsoft SharePoint Zero Day parece ser alimentada por detalhes vazados do patch

Um pesquisador de segurança sugere um vazamento de um programa de parceiros da Microsoft alimentou a enorme campanha de hackers do SharePoint que comprometeu mais de 400 organizações. A iniciativa de Dustin Childs of Trend Micro Day destaca que os ataques que exploram a falha do dia zero começaram antes que a Microsoft divulgasse seu patch oficial. Ele aponta para um vazamento de informações de patch pré-lançamento, o que permitiu aos atores da ameaça criar uma exploração de desvio com velocidade alarmante. Desde então, o incidente aumentou da espionagem para o ransomware.

um vazamento de pré-patch? A busca pela origem da exploração

A controvérsia centra-se em uma linha do tempo que os especialistas em segurança acham profundamente suspeitos, apontando para não uma peça brilhante de hackers independentes, mas para um vazamento em potencial profundo no próprio processo de divulgação da Microsoft. A história começa em 15 de maio, quando um pesquisador demonstrou um potencial e a cadeia de exploração told The Register, “a leak happened here somewhere. And now you’ve got a zero-day exploit in the wild, and worse than that, you’ve got a zero-day exploit in the wild that bypasses the Patch…”, sugerir o conhecimento avançado foi a chave. Segundo Childs, qualquer pessoa com essas informações “seria capaz de dizer que essa é uma maneira fácil de superar isso, permitindo que eles projetarem preventivamente uma solução alternativa.

Embora a linha do tempo seja altamente sugestiva, outros pesquisadores oferecem possibilidades alternativas. Satnam Narang, da Pesquisa Tenável, observou que não é impossível que os atacantes tenham encontrado a falha por conta própria, talvez auxiliada pelas ferramentas modernas. Ele disse ao Registro:”É difícil dizer o que o Domino teve que cair para que esses atores de ameaças possam alavancar essas falhas na natureza”. Quando questionado, um porta-voz forneceu uma declaração geral, dizendo:”Como parte do nosso processo padrão, revisaremos esse incidente, encontraremos áreas para melhorar e aplicarmos essas melhorias amplamente”. Isso deixa a questão crítica de como os atacantes começaram oficialmente a ser respondidos. Em um relatório detalhado, a investigação da Microsoft deploy Warlock Ransomware . Essa escalação aumenta drasticamente as apostas para organizações não atingidas, mudando a ameaça principal do roubo secreto de dados para paralisia operacional aberta e extorsão financeira. Os atacantes determinados podem contornar rapidamente as correções de segurança. Os pesquisadores acreditam que os atores de ameaças usaram uma técnica chamada”Patch Diffing”para analisar a atualização de segurança de julho da Microsoft, que pretendia consertar uma falha relacionada,