微软250多个项目37GB源代码疑遭黑客泄露

本周二，Lapsus$黑客组织声称泄露了从微软内部Azure DevOps服务器窃取的Bing、Cortana和其他项目的源代码。

周日清晨，Lapsus$团伙在他们的Telegram频道上发布了一张屏幕截图，以此证明他们入侵了微软的Azure DevOps服务器，其中包含Bing、Cortana和其他各种内部项目的源代码（下图）。

周二中午，黑客组织发布了一个9GB大小的7zip压缩文档种子，其中包含他们声称属于微软的250多个项目的源代码。Lapsus$表示其中包含90%的Bing源代码以及大约45%的Bing Maps和Cortana代码。

Lapsus$告诉bleepingcomputer，这次公开的只是微软泄露源代码的一部分，其他未压缩的存档包含大约37GB的源代码：

Lapsus$还透露，一些泄露的项目包含电子邮件和文档，这些电子邮件和文档显然被微软工程师在内部用于发布移动应用程序。

目前已公开泄露主要是Web基础设施、网站或移动应用程序的源码，Lapsus$还没有发布微软桌面软件的源代码，包括Windows、Windows Server和Microsoft Office。

目前尚不清楚Lapsus$是如何接连攻破了包括英伟达、三星在内的科技巨头的源代码库。威胁情报分析师Tom Malka认为，Lapsus$正在以支付访问权限费用的方式贿赂公司内部人员。而Lapsus$此前确实曾宣布，他们愿意从员工那里购买网络访问权。不过根据消息人士透露的论坛记录，Lapsus$迄今只向戴尔的内部员工支付过费用（下图）：

显然，Lapsus$获取初始访问权限的方式绝不仅仅是收买“内鬼”。Lapsus$此前曾发布了身份验证和身份管理平台Okta内部网站的屏幕截图，如果Lapsus$真的成功入侵了Okta的网络，那么将“解锁”大量Okta的企业客户。