Último

¿Qué pueden hacer los hackers con el código fuente robado?

El Lapsus digital $ El grupo de chantaje es el último en denunciar el robo de datos de alto perfil contra las principales empresas de tecnología. Y, entre otras cosas, el grupo es conocido por capturar y filtrar el código fuente en cada oportunidad, incluso de Samsung, Qualcomm y Nvidia. A fines de marzo, junto con las revelaciones de que habían violado el subprocesador Okta, los piratas informáticos también publicaron una gran cantidad de datos que contenían partes del código fuente de Bing de Microsoft, Bing Maps y su asistente virtual Cortana. Suena mal, ¿verdad?

Las empresas, los gobiernos y otras instituciones se han visto afectados por ataques de ransomware, comprometiendo el correo electrónico comercial y una serie de otras violaciones en los últimos años. Sin embargo, los investigadores dicen que aunque la filtración del código fuente parece catastrófica, ciertamente no lo es. buenopor lo general, no son el peor de los casos para una violación de datos criminal.

«Algunos códigos fuente son secretos comerciales, algunas partes del código fuente pueden facilitar que las personas abusen de los sistemas, pero las cuentas y los datos de los usuarios suelen ser las cosas más importantes que las empresas necesitan proteger», dijo Shane Huntley, director del equipo de análisis. «Para los cazadores de vulnerabilidades, esto facilita ciertas cosas al permitirles saltarse muchos pasos. Pero no es magia. El hecho de que alguien pueda ver el código fuente no significa que pueda usarlo en ese momento».

En otras palabras, cuando los atacantes obtienen acceso al código fuente, y especialmente cuando lo revelan para que todos puedan verlo, la propiedad intelectual de la empresa se puede descubrir en el proceso y los atacantes pueden detectar vulnerabilidades en sus sistemas más rápido. Pero el código fuente en sí mismo no es una hoja de ruta para encontrar errores que puedan explotarse. Los atacantes no pueden apoderarse de Cortana de Microsoft ni acceder a las cuentas de los usuarios simplemente porque tienen parte del código fuente de la plataforma. De hecho, como muestra el software de código abierto, es posible que el código fuente esté disponible públicamente sin que el software subyacente sea menos seguro.

Huntley de Google señala que el mismo escrutinio amplio y variado requerido para proporcionar software de código abierto es vital para el código fuente propietario crítico, en caso de que alguna vez sea robado o filtrado. Y también señala que las principales vulnerabilidades en el software de código abierto, como las últimas fallas de Log4j, a menudo pasan desapercibidas durante años o incluso décadas, como errores de ortografía discretos que no son detectados por el autor, el editor o el corrector.

microsoft detallado irrumpió en Lapsus $ el 22 de marzo y dijo en un comunicado que «Microsoft no confía en la privacidad del código como medida de seguridad y ver el código fuente no aumenta el riesgo».

Por lo general, tanto los investigadores de seguridad como los atacantes deben usar «ingeniería inversa» para encontrar vulnerabilidades explotables en el software trabajando hacia atrás desde el producto final para comprender sus componentes y cómo funciona. Y los investigadores dicen que este proceso en realidad puede ser más útil que buscar errores en el código fuente, porque implica un análisis más creativo y abierto que solo mirar una receta. Sin embargo, no hay duda de que la filtración del código fuente puede ser problemática, especialmente para las organizaciones que no han realizado suficientes auditorías y verificaciones para asegurarse de haber detectado la mayoría de los errores principales.

Deja una respuesta

Tu dirección de correo electrónico no será publicada.

Botón volver arriba
You cannot copy content of this page