Skype dễ bị tổn thương khi chuyển đổi khai thác khó chịu sang phiên bản Windows Store

Nếu phiên bản máy tính để bàn của Skype có trên máy tính Windows của bạn, bạn dễ bị khai thác thực sự khó chịu. Một lỗ hổng trong công cụ cập nhật của Skype có thể cung cấp cho kẻ tấn công toàn quyền kiểm soát hệ thống của bạn và Microsoft nói rằng sẽ không có cách khắc phục sớm..

Hạnh phúc, bạn có thể tránh được vấn đề hoàn toàn bằng cách thay thế phiên bản Skype trên máy tính để bàn của Skype bằng phiên bản có sẵn từ Microsoft Store. Tuy nhiên, thật đáng xấu hổ khi phần mềm của chính Microsoft có điểm yếu cơ bản này và việc khai thác được đề cập là một Redmond đã cảnh báo các nhà phát triển khác về nhiều lần.

Đây là những gì khai thác này hoạt động và làm thế nào bạn có thể chắc chắn rằng bạn đang sử dụng phiên bản Windows Store an toàn của Skype.

Có gì sai với Skype?

Cập nhật phần mềm được cho là để giữ an toàn cho bạn, nhưng trớ trêu thay trong trường hợp của Skype, cập nhật là vấn đề. Đó là vì lỗ hổng ở đây không phải với chính Skype mà là công cụ mà Skype sử dụng để tìm và cài đặt các bản cập nhật. Công cụ cập nhật này dễ bị tấn công bởi hjjacking, như nhà nghiên cứu Stefan Kanthak đã phác thảo:

Tệp thực thi này dễ bị tấn công DLL: nó tải ít nhất UXTheme.dll từ thư mục ứng dụng của nó% SystemRoot% Temp thay vì từ thư mục hệ thống của Windows. Người dùng không có đặc quyền (cục bộ) có thể đặt UXTheme.dll hoặc bất kỳ DLL nào khác được tải bởi tệp thực thi dễ bị tổn thương trong% SystemRoot% Temp tăng mức độ đặc quyền cho tài khoản HỆ THỐNG.

Về cơ bản, Skype chạy DLL từ thư mục Temp, người dùng có thể truy cập mà không có quyền quản trị viên. Điều này khiến cho các tác nhân xấu biến các DLL thành công và giành quyền kiểm soát cấp độ hệ thống đối với máy tính của bạn. Đây là loại lỗ hổng mà Microsoft đặc biệt cảnh báo các nhà phát triển nên tránh, nhưng nhóm Skype của Microsoft dường như đã bỏ lỡ bản ghi nhớ cụ thể đó.

Và nó trở nên tồi tệ hơn. Microsoft nói với Kanthak rằng họ có thể tái tạo vấn đề, nhưng họ sẽ không phát hành một bản vá nào để giải quyết vấn đề. Thay vào đó, Microsoft có kế hoạch giải quyết vấn đề trong phiên bản phát hành lớn tiếp theo của Skype - không rõ khi nào sẽ có.

Đó không phải là lý tưởng. Rất may, có một sự thay thế.

Giải pháp: Sử dụng Phiên bản Windows Store

Microsoft cung cấp hai phiên bản Skype cho Windows: phiên bản của Desktop Desktop, đã có từ rất lâu đời và phiên bản Universal Windows Platform (UWP) mà bạn có thể tải xuống từ ứng dụng Microsoft Store đi kèm với Windows. Chỉ phiên bản máy tính để bàn dễ bị khai thác cụ thể này, bởi vì chỉ phiên bản máy tính để bàn sử dụng công cụ cập nhật riêng của nó.

Microsoft đã đẩy người dùng lên phiên bản Microsoft Store của Skype trong một thời gian: ví dụ trang tải xuống Skype hướng người dùng đến Cửa hàng. Nhưng nhiều người dùng vẫn có phiên bản máy tính để bàn trên hệ thống của họ và họ nên gỡ cài đặt phiên bản đó và chỉ sử dụng phiên bản Store nếu muốn giữ an toàn trước khai thác này.

Làm thế nào bạn có thể biết bạn có phiên bản nào? Cách đơn giản nhất là tìm kiếm trên Skype Skype trong menu bắt đầu. Nếu bạn thấy dòng chữ ứng dụng Microsoft Trusted Microsoft Store bên dưới tên của Skype, có lẽ bạn đã được bảo hiểm.

Hai ứng dụng cũng trông hoàn toàn khác nhau. Đây là phiên bản dành cho máy tính để bàn của Wikipedia:

Nếu Skype của bạn trông như thế này, bạn dễ bị khai thác. Bạn nên gỡ cài đặt Skype, sau đó tải xuống phiên bản Microsoft Store.

Đây là phiên bản Microsoft Store:

Nếu Skype của bạn trông như thế này, bạn an toàn: các bản cập nhật cho phiên bản này được xử lý bằng Microsoft Store, do đó lỗ hổng không liên quan.

Thật không may là Microsoft sẽ không vá lỗ hổng này, nhưng ít nhất có một phiên bản Skype hoạt động đã bị khóa. Và mặc dù giao diện và tính năng của phiên bản Microsoft Store sẽ là một sự điều chỉnh, những thứ như gọi điện và trò chuyện chỉ hoạt động tốt trong các thử nghiệm của chúng tôi, ngay cả khi giao diện cung cấp ít tùy chọn hơn. Và này: không có quảng cáo xấu trên phiên bản Cửa hàng, vì vậy đó là một điểm cộng.