俄羅斯最大的IT科技公司之一Yandex的源代碼倉庫據傳遭到前員工竊取，相關數據已在某個流行黑客論壇上以BT種子形式泄露。

1月25日，泄密者發布了一個磁力鏈接，他們聲稱這是“Yandex git 源”，其中包含 2022 年 7 月從公司竊取的 44.7 GB 文件。據稱，這些代碼存儲庫包含公司除反垃圾郵件規則之外的所有源代碼。

軟件工程師 Arseniy Shestakov 分析了泄露的 Yandex Git 存儲庫 ，并表示其中包含有關以下產品的技術數據和代碼：

• Yandex 搜索引擎和索引機器人
• Yandex 地圖
• 愛麗絲（人工智能助理）
• Yandex 出租車
• Yandex Direct（廣告服務）
• Yandex 郵件
• Yandex Disk（云存儲服務）
• Yandex 市場
• Yandex Travel（旅游預訂平臺）
• Yandex360（工作區服務）
• Yandex 云
• Yandex Pay（支付處理服務）
• Yandex Metrika（互聯網分析）

Shestakov 還在 GitHub 上分享了 泄露文件的目錄列表， 供那些想查看哪些源代碼被盜的人使用。

“至少有一些 API 密鑰，但它們可能僅用于測試部署，”Shestakov 談到泄露的數據時說。

在一份給媒體的聲明中，Yandex 表示他們的系統沒有被黑客入侵，一名前雇員泄露了源代碼存儲庫。

“Yandex 沒有被黑。我們的安全服務從公共領域的內部存儲庫中發現了代碼片段，但內容與 Yandex 服務中使用的存儲庫的當前版本不同。

存儲庫是用于存儲和使用代碼的工具。大多數公司在內部以這種方式使用代碼。

需要存儲庫來處理代碼，而不是用于存儲個人用戶數據。我們正在對向公眾發布源代碼片段的原因進行內部調查，但我們沒有發現任何對用戶數據或平臺性能的威脅。”- Yandex。

數據泄露的動機是政治性的

記者 還與 Yandex前高級系統管理員、開發副主管兼傳播技術總監Grigory Bakunov討論了此次泄密事件 。他對泄露的代碼非常熟悉，曾在 2002 年至 2019 年期間在這家科技巨頭工作。

巴庫諾夫解釋說，數據泄露的動機是政治性的，負責數據泄露的 Yandex 員工并未試圖將代碼出售給競爭對手。

這位前高管補充說，泄漏不包含任何客戶數據，因此不會對 Yandex 用戶的隱私或安全構成直接風險，也不會直接威脅泄漏專有技術。

Yandex 使用名為“Arcadia”的單一存儲結構，但并非公司的所有服務都使用它。此外，即使只是構建服務，您也需要大量內部工具和專業知識，因為標準構建程序并不適用。

泄漏的存儲庫僅包含代碼；另一個重要部分是數據。神經網絡的模型權重等關鍵部分都沒有，所以幾乎沒有用。

盡管如此，仍有許多有趣的文件，其名稱如“blacklist.txt”可能會暴露正在運行的服務。

然而，Bakunov 告訴記者，泄露的代碼使黑客有可能識別安全漏洞并創建有針對性的漏洞利用。巴庫諾夫認為，現在這只是時間問題。

這位前高管還評論了 Yandex 的回應，稱泄露的代碼可能與公司工作服務中使用的當前代碼不相同，但相似度可能高達 90%。

因此，對泄露代碼開展全面檢查之后，惡意黑客很可能會從Yandex系統中發現可供利用的缺口。

參考來源：https://www.bleepingcomputer.com/news/security/yandex-denies-hack-blames-source-code-leak-on-former-employee/