Microsoft ne more odpraviti napake Skype brez velike revizije kode
Analitiki kibernetske varnosti poročajo o ranljivosti Skype, ki hekerjem omogoča dostop do sistemskega računa računalnika[1]. Napaka je v funkciji samodejnega posodabljanja aplikacije in bi zahtevala množično prepisovanje kode, ki ni le zamudno, ampak tudi drago. Prav tako je bolj verjetno, da bo moral Microsoft izdati novo različico Skypea, namesto da bi preprosto popravil napako.
Stefan Kanthak, varnostni raziskovalec pravi, da bi lahko ranljivost, ki je prisotna v storitvi posodabljanja Skypea, izkoristili za popoln dostop do uporabnikovega klepeta.[2]. To ogroža zasebnost uporabnikov Skypa, saj bi lahko bili izpostavljeni ne le zasebni podatki, ampak tudi zlorabljeni za namene lažnega predstavljanja ali izsiljevanja. Zdaj so prevaranti bolj kot kdaj koli prej motivirani za posodobitev Skype virus.
Tehnika ugrabitve DLL kriminalcem pomaga izkoristiti ranljivost
Tehnika, imenovana ugrabitev DLL, se nanaša na zamenjavo zakonite Microsoftove knjižnice z zlonamerno. Napadalec mora zlonamerno datoteko DLL infiltrirati v žrtvin računalnik in jo preimenovati popolnoma enako kot izvirno
[3]. Na ta način bi aplikacija poiskala knjižnico in najprej našla zlonamerno datoteko DLL.Vsakič, ko se Skype zažene, samodejno preveri posodobitve. Ko bi zagnal program za posodabljanje, bi uporabil drugo izvedljivo datoteko, ki je natančno ranljiva za ugrabitev DLL. Čeprav se nekateri kriminalci morda trudijo spustiti zlonamerno datoteko DLL v ciljni računalnik, obstaja veliko načinov, kako je to mogoče storiti.
Medtem ko je pošiljanje neželene e-pošte z okuženimi prilogami ali nalaganje DLL prek senčnih spletnih mest možnost, strokovnjak za IT pojasnjuje, da obstaja lažji način - zlonamerni skript ali zlonamerna programska oprema lahko na daljavo prenese datoteko DLL v začasno mapo tudi[4].
Microsoft se je odločil izdati novo različico Skypea namesto preprostega popravka
Microsoft je potrdil, da je bilo mogoče odpraviti napako. Vendar je programski velikan poudaril, da bo zahtevalo preveč dela[5]. Raziskovalec je navedel naravo dela kot veliko revizijo kode za odpravo napake, ki bi bila zamudna.
Vendar je Microsoft dejal, da vseeno izdaja posodobitev, ki jo bo zdaj spremljala nova različica Skypea. Očitno je, da podjetje ne bo odpravilo ranljivosti kljub dejstvu, da so uporabniki trenutno ogroženi. To pomeni, da imajo kriminalci še vedno možnost ukrasti in izbrisati podatke ali infiltrirati izsiljevalsko programsko opremo v ciljne računalnike Windows.