圈小蛙

俄罗斯科技巨头Yandex几乎所有产品的源代码被泄露,Yandex否认遭黑客入侵,而是亲乌克兰前雇员所为

据称被这家俄罗斯科技公司的一名前雇员窃取的Yandex源代码存储库已在一个流行的黑客论坛上以BT种子(Torrent)的形式泄露。

昨天,泄密者发布了一个磁力链接,他们声称这是“Yandex git 源”,其中包含2022年7月从该公司窃取的44.7GB的文件。据称,这些代码存储库包含公司除反垃圾邮件规则之外的所有源代码。

Yandex泄露的文件分析

软件工程师Arseniy Shestakov分析了泄露的Yandex的Git存储库,并表示其中包含有关以下产品的技术数据和代码:

Arseniy Shestakov称,泄露的文件日期为2022年2月24日——俄罗斯入侵乌克兰的那一天——并且包含该公司几乎所有主要服务的源代码,但没有用户数据。

Yandex是俄罗斯最大的科技公司之一,提供广泛的服务,例如搜索、地图、电子邮件、按需交付、语音辅助和自动驾驶汽车等。“在俄罗斯国内,它提供比谷歌更广泛的服务,”Shestakov在他的博客上写道。“想象一下有一家公司可以取代谷歌、优步、亚马逊、Netflix和Spotify。”

Shestakov还在GitHub上分享了泄露文件的目录列表,供那些想查看哪些源代码被盗的人使用。

“至少有一些API密钥,但它们可能仅用于测试部署,”Shestakov谈到泄露的数据时说。

在给BleepingComputer的一份声明中,Yandex表示他们的系统没有被黑客入侵,一名前雇员泄露了源代码存储库。

“Yandex没有被黑。我们的安全服务从公共领域的内部存储库中发现了代码片段,但内容与Yandex服务中使用的存储库的当前版本不同。

存储库是用于存储和使用代码的工具。大多数公司在内部以这种方式使用代码。

需要存储库来处理代码,而不是用于存储个人用户数据。我们正在对向公众发布源代码片段的原因进行内部调查,但我们没有发现对用户数据或平台性能有任何威胁。”

代码暴露在黑客面前

BleepingComputer还与Yandex前高级系统管理员、开发副主管兼传播技术总监Grigory Bakunov讨论了此次泄密事件。他对泄露的代码非常熟悉,曾在2002年至2019年期间在这家科技巨头工作。

Bakunov解释说,数据泄露的动机是政治性的,负责数据泄露的流氓Yandex员工并未试图将代码出售给竞争对手。

这位前高管补充说,泄漏不包含任何客户数据,因此不会对Yandex用户的隐私或安全构成直接风险,也不会直接威胁泄漏专有技术。

Yandex使用名为“Arcadia”的单一存储结构,但并非公司的所有服务都使用它。此外,即使只是构建服务,您也需要大量内部工具和专业知识,因为标准构建程序并不适用。

泄漏的存储库仅包含代码;另一个重要部分是数据。神经网络的模型权重等关键部分都没有,所以几乎没有用。

尽管如此,仍有许多有趣的文件,其名称如“blacklist.txt”可能会暴露正在运行的服务。

然而,Bakunov告诉BleepingComputer,泄露的代码使黑客有可能识别安全漏洞并创建有针对性的漏洞利用。Bakunov认为,现在这只是时间问题。

这位前高管还评论了Yandex的回应,称泄露的代码可能与公司工作服务中使用的当前代码不完全相同,但可能有高达90%的相似度。

因此,彻底检查被泄露的代码可能会发现Yandex公司可能的漏洞点,从而被黑客利用。

在泄露的Yandex源代码中发现种族歧视

俄罗斯科技巨头Yandex周五就公司源代码中发现的种族歧视内容道歉。道歉是为了回应在网上泄露后在公司代码库中发现多个对N字的引用。“我们对这个词出现在我们的内部代码中深感遗憾,”Yandex新闻办公室周五在一封电子邮件中告诉Cyber​​Scoop。

周四,一位在Twitter上以“Wacky Fruit”为名的研究人员发布了截图,显示了该词在多个地方的使用。“Yandex,RUF*** 是认真的吗?!”他们在推特上写道。

据Yandex新闻办公室称,有问题的代码似乎“是与公司存储库当前版本不同的旧片段,永远不会影响公司的任何服务。”该公司称该事件“公然违反了我们的企业道德”,并表示正在进行审查以了解“这是如何发生的”并采取措施“确保这种情况不再发生”。

Exit mobile version