独家:微软在2013年发现秘密数据库黑客后悄然回应

 作者:项嗯侨     |      日期:2019-03-04 01:13:00
(路透社) - 据五位前雇员称,微软公司用于跟踪其自身软件中的漏洞的秘密内部数据库已被四年前的一个高度复杂的黑客组织打破,仅仅是第二次违反此类公司数据库在2013年被发现之后,没有向公众或其客户透露攻击的程度,但是这五名前雇员在单独采访中向路透社描述了这一攻击微软拒绝讨论这一事件该数据库包含了部分漏洞中关键和未修复漏洞的描述世界上使用最广泛的软件,包括Windows操作系统Spies,面向全球各国政府和其他黑客贪图此类信息,因为它向他们展示了如何创建电子入侵工具微软的漏洞可能在黑客攻击的几个月内得到修复根据前雇员的说法,这些前雇员以及美国人首次发言据路透社报道,这些违规事件让人感到震惊,因为黑客本可以利用当时的数据在其他地方发动攻击,将他们的影响力扩展到政府和公司网络中“内部访问这些信息的坏人真的会有'骨架' “全球亿万台计算机的关键”,埃里克罗森巴赫说,他当时是美国网络防御副助理部长,现在所有公司都在努力寻找并修复软件中的漏洞破坏性黑客攻击包括微软在内的许多公司向安全研究人员和黑客“赏金”以获取有关缺陷的信息 - 增加错误数据的流量并提供保护材料的工作比以往任何时候都更紧急在回复路透社,微软的问题的电子邮件中说:“我们的安全团队积极监控网络威胁,帮助我们确定优先级,并采取适当措施保护客户免受攻击”在得知此次攻击后,微软回过头来看看当时其他组织的违规行为,这五名前雇员表示没有发现被盗信息被用于这些违规行为的证据两位现任员工表示公司支持该评估三位前员工认为该研究的数据太少无法确定微软在违规后加强了安全性,前员工表示,将数据库从企业网络中移除,并要求进行两次身份验证访问此类软件信息所带来的危险在美国国家安全局的黑客工具库存被盗,发布然后用于对英国医院和其他设施的破坏性“WannaCry”攻击后,微软总裁布拉德·史密斯对国家安全局进行了比较后,这些漏洞成为今年公众辩论的焦点失去了“美国军方的一些战斧导弹被盗”,并引用“囤积这些漏洞对平民造成的破坏”只披露了一家软件公司的大型数据库遭到泄露2015年,开发Firefox网络浏览器的非营利组织Mozilla Foundation表示攻击者可以访问数据库其中包括10个严重和未修补的漏洞其中一个漏洞随后被用于对Firefox用户的攻击,Mozilla当时透露与微软的方法相比,Mozilla提供了有关漏洞的广泛细节,并敦促其客户采取行动Mozilla Chief Business和法律官员Denelle Dixon表示,该基金会向公众表达了2015年所知道的“不仅告知并帮助保护我们的用户,还帮助我们自己和其他公司学习,最后因为开放性和透明度是我们使命的核心”微软问题应该提醒公司将准确的错误报告视为“王国的钥匙”,马克韦瑟福德说,他是副联合国微软获悉美国国土安全部网络安全部副部长,就像五角大楼的Rosenbach一样,Weatherford说他不知道微软的攻击Weatherford指出,大多数公司都对知识产权和其他敏感企业信息有严格的安全程序“你的bug存储库应该同样重要,“他说 2013年初,微软发现数据库漏洞,因为一个技术娴熟的黑客组织闯入了许多主要科技公司的计算机,其中包括Apple公司,Facebook公司和Twitter公司该组织被其他地区的安全研究人员称为Morpho,Butterfly和Wild Neutron,利用Java编程语言中的一个缺陷来渗透员工的Apple Macintosh计算机然后转移到公司网络据安全研究人员称,该组织仍然是最熟练和最神秘的黑客组织之一,专家不能同意关于它是否得到了国家政府的支持,更不用说哪一个在2013年首次出现漏洞的故事发生一周多后,微软发布了一份简短的声明,将其自身的闯入描述为有限的,并没有提到bug数据库“据Facebook和Apple报道,微软可以证实我们最近也经历过类似的安全入侵,” e公司在2013年2月22日表示“我们发现少数计算机,包括我们Mac业务部门中的一些计算机,使用类似于其他组织记录的技术感染恶意软件我们没有证据表明客户数据受到影响,根据五位前安全员工的说法,他们表示,数据库受到的保护很差,只需要一个密码就可以访问密码了根据五名前雇员的说法,黑客利用窃取的漏洞进行新的攻击,促使微软将这些漏洞的时间与漏洞进入数据库的时间以及修补时间进行比较这些人说,研究得出的结论是数据库被用于随后的黑客攻击,肇事者可能已经获得了其他地方的信息以前的员工表示,微软决定不透露违规行为,并且在许多情况下补丁已经发布给客户路透社采访的五名前雇员中有三名说这项研究不能排除被盗用的漏洞-on attack“他们绝对发现已经采取了错误,”其中一个说“无论这些错误是否正在使用,我认为他们没有做过彻底的发现”这部分是因为微软依赖于软件的自动报告一些安全专家说,这种方法的问题在于,最复杂的攻击并不会导致崩溃,