Microsoft не может исправить баг, позволяющий злоумышленникам внедрять вредоносный код через обработчик обновлений Skype

Исследователь Стефан Кантак (Stefan Kanthak) еще в сентябре обнаружил уязвимость в механизме обновлений Skype, позволяющую хакерам внедрять вредоносный код в систему методом внедрения DLL.

Особенность атаки

Злоумышленник может загрузить зловредный DLL-файл во временную папку и присвоить ему имя одной из уже имеющихся библиотек. Процесс обновления Skype, считывая содержимое папки, в первую очередь видит чужой файл и забирает его на обработку.

Грамотно составленная зловредная библиотека может предоставить хакеру полный низкоуровневый доступ к операционной системе на скомпрометированном устройстве. Эксперт отмечает, что под угрозой находятся не только ПК на ОС Windows: пользователи компьютеров на macOS и Linux также не защищены.

Несмотря на опасность найденного бага, далеко не все смогут его полноценно эксплуатировать. Поскольку Skype обычно запускается пользователем с обычными правами, злоумышленнику, вероятнее всего, не удастся добраться до низкоуровневых системных структур.

Что делать?

Microsoft предлагает варианты защиты от уязвимости, реализуемые вручную. Компания пока не готова выпустить полноценный автоматизированный патч, так как для этого нужно переписать объемную часть исходного кода программы. Вероятнее всего, разработчик выпустит новый, полностью переписанный клиент Skype для ПК.