微軟,、思科的源代碼正在被公開售賣。
源代碼價格從 5 萬美元到 60 萬美元不等,，全部打包售賣的價格為 100 萬美元且不支持議價,。
同時，黑客還聲稱這是第一批數據,，以后會公布更多,。
1
因 SolarWinds 攻擊事件，多家企業(yè)
源代碼泄露并被黑客公開售賣
據外媒 bleepingcomputer 報道,，一個名為”SolarLeaks“的網站正在出售微軟,、思科、FireEye 和 SolarWinds 的源代碼以及相關數據,。
報道稱,，被曝光時研究人員發(fā)現 solarleaks.net 域名僅僅成立一天，其背后的域名注冊商是 NJALLA,。NJALLA 曾被俄羅斯黑客組織 Fancy Bear 和 Cozy Bear 使用過,。
因此，研究人員認為這極有可能是證明俄羅斯黑客攻擊的證據之一,。
網絡安全公司 Rendition Infosec 的總裁杰克·威廉姆斯 （Jake Williams） 也表示,，此次交易傾向于具有商業(yè)價值的數據，而不是從政府機構竊取的情報,，可能表明這是一個真實的黑客組織,。
至于黑客為什么能獲得這些企業(yè)的源代碼及其相關數據，這還要從 2020 年底發(fā)生的一件嚴重的安全事故說起,。
2020 年底,，美國政府各大部門遭到黑客攻擊，經調查,，入侵方式是借由信息科技公司 SolarWinds 的網絡管理軟件 Orion 更新文件中夾帶后門,。
部分受害者包括：美國的財政部,、商務部、國土安全部,、能源部的國家實驗室,，以及國家核安全管理局。
除此之外,，安全公司 FireEye ,、微軟、思科均在受害者之列,。
根據此前的報道,，在 SolarWinds 攻擊事件中，微軟表示,，黑客設法提升了微軟內部網絡里的訪問權限,，因而可以訪問少量內部帳戶，并利用這些帳戶訪問了微軟的源代碼庫,。微軟還強調被訪問的帳戶只有查看權限,，聲稱黑客沒有對代碼或工程系統(tǒng)進行任何更改。
但在 SolarLeaks 網站上,，黑客卻聲稱將以 60 萬美元的價格出售微軟 2.6G 大小的源代碼和存儲庫,。
微軟：我也很懵啊。
與之有同樣遭遇的還有思科,。
在此前的報道中,，思科曾表示思科實驗室中大約 20 臺計算機因 SolarWinds Orion 網絡監(jiān)控平臺的惡意更新版而受到攻擊，其安全團隊迅速采取了行動以解決這一問題,，目前對思科解決方案或產品沒有造成任何已知的影響,。
而黑客卻聲稱要以 50 萬美元出售思科的多種產品源代碼,，甚至包括思科內部的錯誤分析工具,。
不過，在看到這一消息后,，思科也馬上做出了回應,，他們表示：
他們知道 SolarLeaks 網站，但沒有發(fā)現相關證據表明攻擊者竊取了他們的源代碼,，也沒有證據表示客戶數據被盜,。
嗯？,？
除了微軟,、思科遭到黑客的威脅外，網絡安全公司 FireEye 也遭到黑客威脅,。
FireEye 曾在去年 12 月 8 日發(fā)布通告稱一個由國家贊助的高度復雜的 APT 組織偷走了他們的紅隊滲透工具,。
紅隊滲透工具是一種網絡武器庫，能夠復制全球最復雜的黑客攻擊方法，而且大多數工具都被保存在由 FireEye 密切監(jiān)控的數字保險庫當中,。
與微軟,、思科不同，FireEye 的叫價最為便宜,，只要 5 萬美元,。
不過，目前還不確定該網站是否合法,，以及網站所有者是否擁有他們正在出售的數據,，具體是哪個黑客目前也無從得知。
2
源代碼公開之痛
每一次源代碼被公開,，伴隨著的都是巨大的損失,。
我們舉幾個例子，大家就明白了,。
2017 年,，大疆前員工將含有公司商業(yè)機密的代碼上傳到了 GitHub 的公有倉庫中，造成源代碼泄露的事件,。
根據當時的報道,，這些源代碼，攻擊者可以 SSL 證書私鑰,，訪問客戶的敏感信息,，比如用戶信息、飛行日志等等,。
根據評估,，這次泄漏代碼一共給大疆造成了 116.4 萬的經濟損失。
2018 年 2 月,，一位名為 ”ZioShiba“ 的用戶在開源代碼托管平臺 GitHub 上泄露了蘋果公司專有的 iBoot 源代碼,。
根據蘋果公司的聲明，遭到泄露的是兩年前 iOS 9 的源代碼,，與現在相隔甚遠,，不會導致大規(guī)模安全事件。但仍然可能被相關 iOS 安全研究人員和越獄愛好者加以利用,，在 iPhone 鎖定系統(tǒng)中發(fā)現其他新的漏洞,。
再比如，2019 年 4 月,，B 站整個網站后臺工程源碼泄露,，并且”不少用戶密碼被硬編碼在代碼里面，誰都可以用,?！?/p>
當天,，在開源及私有軟件項目托管平臺 GitHub 上，出現了名為”嗶哩嗶哩bilibili 網站后臺工程源碼“的項目,。據悉,，該項目由賬號” openbilibili “創(chuàng)建，由于網站的開源性質,，登錄網站者均可使用,。當日 B站股價跌 3.27%。
雖然很快被封禁,，B 站也已經報警處理,，但有不少網友克隆了代碼庫，隱患已經埋下,，補救起來也頗為頭疼,。
2020 年 3 月，AMD 發(fā)布了一條公告,，宣布有黑客竊取了 AMD 現在及即將發(fā)布的圖形產品及子集的測試文件,，盡管目前已知的并不是 AMD 圖形產品的核心機密，但還不確定黑客是否還擁有其他任何 AMD IP,。
據悉黑客盜取源碼后曾聯系 AMD,，索要 1 億美元贖金，稱如果不給錢,，就”免費幫你給這三款 GPU 開源“,。
盡管該黑客賬號被封禁，但不久大家就發(fā)現該黑客又開設了新的賬號且未被封禁,，更為嚴重的是如果黑客真的將代碼”開源“,，對 AMD 來說將是一個致命的打擊，損失也絕對不只是 1 億美元,。
當然,，還有很多黑客在 GitHub 上把登錄信息和明文密碼也都一起開源的。
而這些被開源的代碼一旦被黑客利用,，造成的損失就要看黑客的心情了,。