Специалист в области безопасности Стефан Кантак обнаружил серьёзную брешь в популярном мессенджере Skype. Как оказалось, использовав взломанный DLL-файл (один из файлов библиотек), можно получить доступ к ПК. И Microsoft не в состоянии что-то экстренно предпринять.

Как сообщается, вредоносный DLL-файл нужно загрузить во временную папку, доступную пользователю, и присвоить ему название существующей библиотеки, а затем изменить его название на название библиотеки. Это можно сделать без привилегий администратора. Как отмечается, после загрузки на ПК Skype использует собственный встроенный модуль для установки обновлений, а вот для запуска апдейтов используется другой файл, который и можно подменить. При этом в случае апдейта он проверяется в первую очередь.

После инсталляции в системе Skype использует собственный инструмент для автоматической установки обновлений вместо Windows/Microsoft Update. Skype периодически запускает «%ProgramFiles%\Skype\Updater\Updater.exe» под привилегиями уровня System. При появлении обновлений, Updater.exe копирует и извлекает еще один исполняемый файл вида «%SystemRoot%\Temp\SKY.tmp» и исполняет его с помощью командной строки — «%SystemRoot%\Temp\SKY.tmp» /QUIET.

Этот файл уязвим перед атакой типа DLL hijacking (подмена DLL)

Стефан Кантак

Причём, по словам Кантака, метод работает также на Linux и macOS. Он также показал два способа легко внедрить поддельный DLL-файл в систему. Он отметил, что после получения привилегий в системе злоумышленник «может сделать что угодно» — похитить личные данные, удалить файлы, оставить «закладки» и прочее.

Отмечается, что Кантак сообщил Microsoft об ошибке в сентябре прошлого года, однако софтверный гигант заявил, что исправление ситуации потребует переписывания большой доли кода программы. В компании смогли воспроизвести проблему, но решать её не торопятся. Во всяком случае, в текущей версии никаких экстренных обновлений безопасности не будет. Брешь устранят, однако в новой версии.

Самое интересное, что в Microsoft заявили, что создают совершенно новый клиент и бросили на это «все ресурсы». Однако компания не назвала никаких определённых сроков (как обычно).

Важно отметить, что за последнее время Skype испортился окончательно. И речь идёт не только о версии под Linux, которую не ругает только ленивый. Последние обновления под Windows также не лишены недостатков. Учитывая, что Skype умеет подключаться при наличии любого сетевого соединения, мягко говоря, необычно выглядит тот факт, что мессенджер может просто самопроизвольно закрыться.

Интересно, что в Microsoft считают проблему опасной, но не критической. Проще говоря — рекомендаций отказаться от использования мессенджера не будет.

Неисправимая уязвимость — это наихудший сценарий для любого ПО, особенно такого сверхпопулярного как Skype. Интересно, что Microsoft никаких призывов перестать пользоваться Skype или применить меры по обеспечению собственной безопасности пока не публиковала. «Баг» назван опасным, но не критическим, что может означать, что его эксплуатация не настолько проста, как может показаться на первый взгляд

Роман Гинятуллин, эксперт по информационной безопасности компании SEC Consult Services

Или же компании просто не хочется терять репутацию и деньги, ведь кроме обычного Skype есть также платная бизнес-версия.