Microsoft kan ikke rette Skype-fejl uden en stor koderevision
Cybersikkerhedsanalytikere rapporterer om Skypes sårbarhed, som giver hackere mulighed for at få adgang til computerens systemkonto[1]. Fejlen ligger i programmets automatiske opdateringsfunktion og vil kræve en massiv kodeomskrivning, som ikke kun er tidskrævende, men også dyr. Ligeledes er det mere sandsynligt, at Microsoft bliver nødt til at udstede en ny version af Skype i stedet for blot at rette fejlen.
Ifølge Stefan Kanthak siger en sikkerhedsforsker, at den sårbarhed, der er til stede i Skypes opdateringstjeneste, kunne udnyttes til at få fuld adgang til brugerens chat[2]. Dette bringer Skype-brugeres privatliv i fare, da ikke kun private oplysninger kan blive afsløret, men også misbruges til phishing-formål eller afpresning. Nu er skurke mere motiverede end nogensinde før til at opdatere Skype virus.
DLL-kapringsteknik hjælper kriminelle med at udnytte sårbarheden
Teknikken kaldet DLL-kapring henviser til udskiftningen af et legitimt Microsoft-bibliotek med det ondsindede. En angriber skal infiltrere den ondsindede DLL-fil på offerets computer og omdøbe den nøjagtigt det samme som den originale.
[3]. På denne måde vil applikationen søge efter biblioteket og finde ondsindet DLL-fil først.Hver gang Skype starter, søger den automatisk efter opdateringer. Når det først kørte opdateringsprogrammet, ville det bruge en anden eksekverbar fil, og som netop er sårbar over for DLL-kapring. Selvom nogle kriminelle måske kæmper for at slippe den ondsindede DLL-fil på den målrettede computer, er der mange måder, hvordan det kan gøres.
Selvom det er en mulighed at sende spam-e-mails med inficerede vedhæftede filer eller indlæse DLL gennem lyssky websteder, IT-specialist forklarer, at der er en nemmere måde - et ondsindet script eller malware kan eksternt overføre DLL-fil til en midlertidig mappe såvel[4].
Microsoft valgte at frigive en ny version af Skype frem for en simpel patch
Microsoft har bekræftet, at det var muligt at rette fejlen. Softwaregiganten påpegede dog, at det ville kræve for meget arbejde[5]. Forsker specificerede arbejdets art som en enorm koderevision for at rette fejlen, som ville være tidskrævende.
Microsoft sagde dog, at det alligevel udgiver en opdatering, som nu vil blive ledsaget af en ny version af Skype. Det er tydeligt, at virksomheden ikke vil fjerne sårbarheden på trods af, at brugerne i øjeblikket er i fare. Det betyder, at kriminelle stadig har en chance for at stjæle og slette data eller infiltrere ransomware på de målrettede Windows-computere.