Yandex 否认黑客入侵，将源代码泄露归咎于前员工

据称被这家俄罗斯科技公司的一名前雇员窃取的 Yandex 源代码存储库已在一个流行的黑客论坛上以 Torrent 的形式泄露。

昨天，泄密者发布了一个磁力链接，他们声称这是“Yandex git 源”，其中包含 2022 年 7 月从公司窃取的 44.7 GB 文件。据称，这些代码存储库包含公司除反垃圾邮件规则之外的所有源代码 .

软件工程师 Arseniy Shestakov 分析了泄露的 Yandex Git 存储库，并表示其中包含有关以下产品的技术数据和代码：

Shestakov 还在 GitHub 上为那些想查看哪些源代码被盗的人分享了一份泄露文件的目录列表。

“至少有一些 API 密钥，但它们可能仅用于测试部署，”Shestakov 谈到泄露的数据时说。

在给 OZABC 的一份声明中，Yandex 表示他们的系统没有被黑客入侵，并且一名前雇员泄露了源代码存储库。

“Yandex 没有被黑。我们的安全服务从公共领域的内部存储库中发现了代码片段，但内容与 Yandex 服务中使用的存储库的当前版本不同。

存储库是一种用于存储和使用代码的工具。大多数公司在内部以这种方式使用代码。

需要存储库来处理代码，而不是用于存储个人用户数据。我们正在对向公众发布源代码片段的原因进行内部调查，但我们没有发现任何对用户数据或平台性能的威胁。”- Yandex。

暴露于黑客

OZABC 还与前高级系统管理员、开发副主管兼 Yandex 传播技术总监 Grigory Bakunov 讨论了泄密事件。他在 2002 年至 2019 年期间曾在这家科技巨头工作，对泄露的代码非常熟悉。

Bakunov 解释说，数据泄露的动机是政治性的，负责数据泄露的流氓 Yandex 员工并未试图将代码出售给竞争对手。

这位前高管补充说，泄漏不包含任何客户数据，因此不会对 Yandex 用户的隐私或安全构成直接风险，也不会直接威胁泄漏专有技术。

Yandex 使用名为“Arcadia”的单一存储库结构，但并非公司的所有服务都使用它。此外，即使只是构建服务，您也需要大量内部工具和专业知识，因为标准构建程序并不适用。

泄露的存储库仅包含代码；另一个重要部分是数据。神经网络的模型权重等关键部分都没有，所以几乎没有用。

不过，还有许多有趣的文件，其名称如“blacklist.txt”可能会暴露正在运行的服务。

但是，Bakunov 告诉 OZABC，泄露的代码使黑客有可能识别安全漏洞并创建有针对性的漏洞利用。 Bakunov 认为这只是时间问题。

这位前高管还评论了 Yandex 的回应，称泄露的代码可能与公司工作服务中使用的当前代码不相同，但相似度可能高达 90%。

因此，彻底检查泄露的代码可能会在 Yandex 为威胁参与者提供可能的弱点。