სკაიპის უზარმაზარი დაუცველობა მაიკროსოფტი არ გამოსწორდება უახლოეს მომავალში

მაიკროსოფტი ვერ გამოასწორებს სკაიპის ხარვეზს უზარმაზარი კოდის გადახედვის გარეშე

კიბერუსაფრთხოების ანალიტიკოსები იუწყებიან Skype-ის დაუცველობის შესახებ, რომელიც ჰაკერებს საშუალებას აძლევს მიიღონ წვდომა კომპიუტერის სისტემის ანგარიშზე^[1]. შეცდომა აპლიკაციის ავტომატური განახლების ფუნქციაშია და საჭიროებს მასიური კოდის გადაწერას, რაც არა მხოლოდ შრომატევადია, არამედ ძვირიც. ანალოგიურად, უფრო სავარაუდოა, რომ Microsoft-ს დასჭირდება სკაიპის ახალი ვერსიის გამოშვება, ვიდრე უბრალოდ შეცდომის გამოსწორება.

სტეფან კანთაკის თქმით, უსაფრთხოების მკვლევარი ამბობს, რომ დაუცველობა, რომელიც არის Skype-ის განახლების სერვისში, შეიძლება გამოყენებულ იქნას მომხმარებლის ჩატზე სრული წვდომის მისაღებად.^[2]. ეს აყენებს სკაიპის მომხმარებლების კონფიდენციალურობას რისკის ქვეშ, რადგან არა მხოლოდ პირადი ინფორმაციის გამჟღავნება, არამედ ბოროტად გამოყენება ფიშინგის მიზნებისთვის ან შანტაჟისთვისაც შეიძლება. ახლა თაღლითები უფრო მოტივირებულები არიან განახლებისთვის, ვიდრე ოდესმე სკაიპის ვირუსი.

DLL გატაცების ტექნიკა კრიმინალებს ეხმარება გამოიყენონ დაუცველობა

ტექნიკა სახელწოდებით DLL hijacking ეხება ლეგიტიმური Microsoft ბიბლიოთეკის ჩანაცვლებას მავნე ბიბლიოთეკით. თავდამსხმელმა უნდა შეაღწიოს მავნე DLL ფაილში მსხვერპლის კომპიუტერში და დაარქვას მას ზუსტად იგივე, რაც ორიგინალს.^[3]. ამ გზით, აპლიკაცია მოძებნის ბიბლიოთეკას და პირველ რიგში იპოვის მავნე DLL ფაილს.

ყოველ ჯერზე, როდესაც სკაიპი გაშვება, ის ავტომატურად ამოწმებს განახლებებს. განახლების გაშვების შემდეგ ის გამოიყენებდა სხვა შესრულებად ფაილს და რომელიც ზუსტად დაუცველია DLL-ის გატაცების მიმართ. მიუხედავად იმისა, რომ ზოგიერთმა კრიმინალმა შეიძლება იბრძოლოს მავნე DLL ფაილის მიზანმიმართულ კომპიუტერზე გადაგდებაზე, ამის გაკეთება მრავალი გზა არსებობს.

მიუხედავად იმისა, რომ სპამის წერილების გაგზავნა ინფიცირებული დანართებით ან DLL ჩატვირთვა დაჩრდილული ვებსაიტების საშუალებით არის ვარიანტი, IT სპეციალისტი განმარტავს, რომ არსებობს უფრო მარტივი გზა - მავნე სკრიპტს ან მავნე პროგრამას შეუძლია დისტანციურად გადაიტანოს DLL ფაილი დროებით საქაღალდეში როგორც^[4].

მაიკროსოფტმა აირჩია სკაიპის ახალი ვერსიის გამოშვება, ვიდრე მარტივი პაჩი

Microsoft-მა დაადასტურა, რომ შეცდომის გამოსწორება შესაძლებელი იყო. თუმცა, პროგრამული უზრუნველყოფის გიგანტმა აღნიშნა, რომ ეს ძალიან დიდ შრომას მოითხოვს^[5]. მკვლევარმა დააკონკრეტა სამუშაოს ბუნება, როგორც უზარმაზარი კოდის გადასინჯვა ხარვეზის გამოსასწორებლად, რომელიც შრომატევადი იქნებოდა.

თუმცა, Microsoft-მა განაცხადა, რომ ის მაინც ავრცელებს განახლებას, რომელსაც ახლა სკაიპის ახალი ვერსია ახლავს თან. აშკარაა, რომ კომპანია არ აპირებს მოწყვლადობის აღმოფხვრას, მიუხედავად იმისა, რომ მომხმარებლები ამჟამად რისკის ქვეშ არიან. ეს ნიშნავს, რომ კრიმინალებს ჯერ კიდევ აქვთ შანსი მოიპარონ და წაშალონ მონაცემები ან შეაღწიონ გამოსასყიდ პროგრამას Windows-ის მიზნობრივ კომპიუტერებზე.