Mã nguồn VMware bị lộ do “fan” của Anonymous tấn công

Mã nguồn phần mềm ảo hóa máy chủ ESX của VMware bị đánh cắp từ môt công ty Trung Quốc và tung lên mạng. Kẻ tấn công được cho là có liên quan đến các nhóm tin tặc Anonymous và LulzSec.

Hacker có biệt danh Hardcore Charlie tự nhận đã thực hiện việc này và tuyên bố rằng vẫn còn mã nguồn từ EMC (công ty mẹ của VMware cùng hãng bảo mật RSA) có thể sẽ tiếp tục được tiết lộ.

Mã nguồn này bị đánh cắp từ Tổng Công ty xuất nhập khẩu điện tử Trung Quốc (CEIEC). Hardcore Charlie tuyên bố rằng mình là một người ủng hộ các nhóm hacker Anonymous và Lulzsec và lấy được mã nguồn của VMware một cách tình cờ.

Hacker lấy mã nguồn VMware từ một đối tác của hãng này ở Trung Quốc.

VMware đã xác nhận thông tin này. Trên blog của công ty, một đại diện của VMware nói rằng mã nguồn bị đánh cắp là một file duy nhất được tạo ra trong khoảng thời gian năm 2003 hoặc 2004. “Việc chia sẻ công khai mã nguồn này không có nghĩa là sẽ làm tăng rủi ro cho các khách hàng của VMware”, Ian Mulholland, Giám đốc Trung tâm phản ứng an ninh của VMware viết như vậy trên lbog.

Ian Mulholland cũng viết: “VMware đã chủ động chia sẻ mã nguồn và giao diện cho các đối tác khác để có thể mở rộng hệ sinh thái ảo hóa. Chúng tôi quan tâm đến vấn đề an ninh của khách hàng một cách nghiêm túc và đã thu xếp nguồn lực cả bên trong và bên ngoài để tiến hành điều tra”.

Tuy nhiên, VMware không trả lời ngay yêu cầu cung cấp thêm thông tin về tác động của vụ hack đối với khách hàng.

Theo Eric Chiu, người sáng lập của công ty bảo mật điện toán đám mây HyTrust, rất khó để nói rằng khách hàng nên làm gì do vì không có đủ thông tin chi tiết về mã nguồn bị đánh cắp đã được sử dụng như thế nào trong sản phẩm hiện tại. Tuy nhiên, ông nói các hãng bảo mật thường được yêu cầu bảo vệ mã nguồn của đối tác theo cách như của chính mình.

“Chia sẻ mã nguồn làm tăng nguy cơ bị trộm cắp vì mã nguồn đó có thể bị đánh cắp trực tiếp cũng như từ một đối tác”, ông Chiu nhận định và nói thêm rằng: “Các tổ chức nên xem xét bảo mật cho cơ sở hạ tầng ảo một cách toàn diện (cả cơ sở hạ tầng ảo lẫn các máy ảo), cũng như thực hiện phương pháp phòng thủ theo chiều sâu”.

Theo ICTnew