Microsoft kan ikke fikse Skype-feilen uten stor koderevisjon
Cybersecurity-analytikere rapporterer om Skype-sårbarhet som lar hackere få tilgang til datamaskinens systemkonto[1]. Feilen ligger i programmets automatiske oppdateringsfunksjon og vil kreve en massiv kodeomskriving som ikke bare er tidkrevende, men også dyr. På samme måte er det mer sannsynlig at Microsoft må utstede en ny versjon av Skype i stedet for å bare lappe feilen.
Ifølge Stefan Kanthak sier en sikkerhetsforsker at sårbarheten som er tilstede i Skypes oppdateringstjeneste kan utnyttes for å få full tilgang til brukerens chat[2]. Dette setter personvernet til Skype-brukere i fare siden ikke bare privat informasjon kan bli avslørt, men også misbrukt til phishing-formål eller utpressing. Nå er kjeltringer mer motivert enn noen gang til å oppdatere Skype-virus.
DLL-kapringsteknikk hjelper kriminelle å utnytte sårbarheten
Teknikken kalt DLL-kapring refererer til erstatning av et legitimt Microsoft-bibliotek med det ondsinnede. En angriper må infiltrere den ondsinnede DLL-filen på offerets datamaskin og gi den nytt navn til nøyaktig det samme som den opprinnelige
Hver gang Skype starter, ser den automatisk etter oppdateringer. Når den kjørte oppdateringsprogrammet, ville den bruke en annen kjørbar fil og som er nøyaktig sårbar for DLL-kapring. Selv om noen kriminelle kan slite med å slippe den ondsinnede DLL-filen på den målrettede datamaskinen, er det mange måter det kan gjøres på.
Selv om det er et alternativ å sende spam-e-poster med infiserte vedlegg eller laste DLL gjennom lyssky nettsteder, mener IT-spesialist forklarer at det er en enklere måte - et ondsinnet skript eller skadelig programvare kan eksternt overføre DLL-fil til en midlertidig mappe også[4].
Microsoft valgte å gi ut en ny versjon av Skype i stedet for en enkel oppdatering
Microsoft har bekreftet at det var mulig å fikse feilen. Programvaregiganten påpekte imidlertid at det ville kreve for mye arbeid[5]. Forsker spesifiserte arbeidets natur som en enorm koderevisjon for å fikse feilen som ville være tidkrevende.
Imidlertid sa Microsoft at de slipper en oppdatering uansett som nå vil bli ledsaget av en ny versjon av Skype. Det er tydelig at selskapet ikke kommer til å eliminere sårbarheten til tross for at brukere for øyeblikket er i faresonen. Det betyr at kriminelle fortsatt har en sjanse til å stjele og slette data eller infiltrere løsepengevare på de målrettede Windows-datamaskinene.