Động thái nghiêm trọng: Microsoft sẽ không tiến hành vá lỗ hổng Skype

Mới đây, một lỗ hổng nghiêm trọng đã được phát hiện trong dịch vụ nhắn tin web miễn phí và dịch vụ thoại Skype phổ biến nhất của Microsoft. Khai thác lỗ hổng này, kẻ tấn công có thể kiểm soát toàn bộ máy chủ bằng cách cấp các đặc quyền cấp hệ thống cho một người dùng địa phương.

Điều tồi tệ đáng nói ở đây là Lỗ hổng này sẽ không được vá bởi Microsoft. Lý giải điều này, Microsoft nhận định lỗ hổng này có thể khắc phục nhưng việc sửa lỗ hổng đòi hỏi phải viết lại phần mềm, công việc này thực sự rất tốn thời gian. Thay vì cập nhật bản vá Microsoft thấy rằng cần phát hành phiên bản skype hoàn toàn mới.

Lỗ hổng đã được phát hiện và báo cáo với Microsoft bởi nhà nghiên cứu bảo mật Stefan Kanthak. Lỗ hổng phát tán từ trong trình cài đặt cập nhật của Skype, có khả năng bị cướp bóc các thư viện liên kết động (DLL).

XEM THÊM: KÝ TỰ TRONG TIN NHẮN CÓ THỂ PHÁ HỦY IPHONE, IPAD, MAC CỦA BẠN

Theo các nhà nghiên cứu, kẻ tấn công có thể khai thác “chức năng của trình nạp DLL Windows DLL, nơi quá trình tải DLL tìm kiếm DLL để được nạp đầu tiên trong cùng một thư mục, trong đó các quá trình nhị phân cư trú và sau đó lan ra các thư mục khác.”

Việc khai thác trật tự tìm kiếm ưu tiên này sẽ cho phép kẻ xấu tấn công quá trình cập nhật bằng cách tải xuống và cài đặt phiên bản độc hại của một tệp DLL vào một thư mục tạm thời của máy tính Windows và đổi tên nó để khớp với DLL hợp pháp có thể được sửa đổi bởi một đối tượng không có đặc quyền người dùng mà không có bất kỳ đặc quyền tài khoản đặc biệt. Khi trình cài đặt cập nhật của Skype cố gắng tìm tệp DLL có liên quan, nó sẽ tìm ra DLL độc hại trước, và do đó sẽ cài đặt mã độc.

Mặc dù Kanthak đã chứng minh cuộc tấn công bằng cách sử dụng phiên bản Windows của Skype, ông tin rằng phương pháp cướp DLL giống nhau cũng có thể làm việc với các hệ điều hành khác, bao gồm các phiên bản Skype cho macOS và Linux. Kanthak thông báo cho Microsoft về lỗ hổng của Skype hồi tháng 9, nhưng công ty nói với ông rằng bản vá sẽ yêu cầu trình cài đặt cập nhật Skype phải thông qua “bản sửa đổi mã lớn”, Kanthak nói với ZDNet.

Vì vậy thay vì đưa ra bản cập nhật bảo mật, Microsoft đã quyết định xây dựng một phiên bản hoàn toàn mới cho khách hàng Skype, nhằm giải quyết tình trạng bị kẻ xấu tấn công. Cần lưu ý rằng lỗ hổng này chỉ ảnh hưởng đến Skype đối với ứng dụng dành cho máy tính để bàn, sử dụng trình cài đặt cập nhật dễ bị tấn công bởi kỹ thuật cướp DLL. Phiên bản ứng dụng nền tảng Universal Windows (UWP) có sẵn từ các cửa hàng Microsoft Store cho Windows 10 không bị ảnh hưởng.

Mức độ gây hại đã được đánh giá là “trung bình” trong mức độ nghiêm trọng, nhưng Kanthak nói, “cuộc tấn công có thể được vũ khí hoá dễ dàng.” Cho đến khi công ty phát hành phiên bản Skype hoàn toàn mới, người dùng nên thận trọng và tránh nhấp vào tệp đính kèm được cung cấp trong email. Ngoài ra, hãy đảm bảo bạn chạy phần mềm chống virus phù hợp và cập nhật cung cấp khả năng chống lại các cuộc tấn công như vậy.

Đây không phải là lần đầu tiên Skype gặp phải một lỗ hổng bảo mật nghiêm trọng. Vào tháng 6 năm 2017, một lỗ hổng nghiêm trọng trong Skype đã được tiết lộ trước khi Microsoft phát hành bản sửa lỗi cho phép hacker tấn công hệ thống và thực thi mã độc hại trong họ.

Tháng trước, trong một số ứng dụng nhắn tin, Skype cũng đã phải đối mặt với một lỗ hổng nghiêm trọng trong việc triển khai mã nguồn cho điện tử – một khung ứng dụng web phổ biến rộng rãi – được sử dụng rộng rãi trong các ứng dụng máy tính để bàn.

Người dùng skype ẩn trọng khi tải MALWARE SCAM về máy bởi rất có thể bạn đang vô tình tạo cơ hội cho mã độc xâm nhập, tấn công