Skip to content

Skype jest podatny na paskudny exploit: Przełącz się na wersję Windows Store

22 de lipiec de 2021
Screen Shot 2018 02 14 at 9.47.57 AM 1024x469 1

Jeśli komputerowa wersja Skype’a znajduje się na komputerze z systemem Windows, jesteś narażony na naprawdę paskudny exploit. Usterka w narzędziu do aktualizacji Skype’a może dać atakującym pełną kontrolę nad twoim systemem, a Microsoft twierdzi, że w najbliższym czasie nie będzie poprawki.

Na szczęście możesz całkowicie uniknąć problemu, zastępując „desktopową” wersję Skype’a tą dostępną z Microsoft Store. Mimo to, żenujące jest, że oprogramowanie Microsoftu ma tak podstawową słabość, a omawiany exploit to ten, przed którym Redmond wielokrotnie ostrzegał innych programistów.

Oto, jak działa ten exploit i jak upewnić się, że korzystasz z bezpiecznej wersji Skype’a ze Sklepu Windows.

Co jest nie tak ze Skype’em?

Aktualizacja oprogramowania ma zapewnić bezpieczeństwo, ale jak na ironię, w przypadku Skype problemem jest aktualizacja. Dzieje się tak dlatego, że wada nie dotyczy samego Skype’a, ale raczej narzędzia, którego używa Skype do wyszukiwania i instalowania aktualizacji. To narzędzie do aktualizacji jest podatne na hakowanie DLL, jak wyjaśnia badacz Stefan Kanthak:

Ten plik wykonywalny jest podatny na przejęcie DLL: ładuje przynajmniej plik UXTheme.dll z katalogu aplikacji %SystemRoot%Temp zamiast z katalogu systemowego Windows. Nieuprzywilejowany (lokalny) użytkownik, który może umieścić plik UXTheme.dll lub dowolną inną bibliotekę DLL załadowaną przez podatny plik wykonywalny w %SystemRoot%Temp, uzyskuje eskalację uprawnień do konta SYSTEM.

Zasadniczo Skype uruchamia biblioteki DLL z folderu Temp, do którego użytkownicy mogą uzyskać dostęp bez uprawnień administratora. To sprawia, że ​​źli gracze mogą przełączyć biblioteki DLL i uzyskać kontrolę nad komputerem na poziomie systemu. To rodzaj wrażliwości Microsoft specjalnie ostrzega programistów, aby unikali, ale zespół Skype’a Microsoftu najwyraźniej przeoczył tę konkretną notatkę.


I jest coraz gorzej. Microsoft powiedział Kanthak, że „byli w stanie odtworzyć problem”, ale nie wyda łaty, która rozwiąże ten problem. Zamiast tego Microsoft planuje rozwiązać ten problem podczas następnej głównej wersji Skype’a — nie jest jasne, kiedy to nastąpi.

To… nie jest idealne. Na szczęście istnieje alternatywa.

Rozwiązanie: Użyj wersji Sklepu Windows

Firma Microsoft oferuje dwie wersje Skype’a dla systemu Windows: wersję „Desktop”, która istnieje od wieków, oraz wersję Universal Windows Platform (UWP), którą można pobrać z aplikacji Microsoft Store dołączonej do systemu Windows. Tylko wersja komputerowa jest podatna na ten konkretny exploit, ponieważ tylko wersja komputerowa korzysta z własnego narzędzia do aktualizacji.

Microsoft od jakiegoś czasu przepycha użytkowników do wersji Skype’a w sklepie Microsoft Store: Strona pobierania Skype kieruje użytkowników do Sklepu np. Jednak wielu użytkowników nadal ma wersję na komputery stacjonarne w swoich systemach i powinni ją odinstalować i używać wersji Store tylko wtedy, gdy chcą chronić się przed tym exploitem.

Jak możesz sprawdzić, którą wersję posiadasz? Najprostszym sposobem jest wyszukanie hasła „Skype” w menu startowym. Jeśli zobaczysz słowa „Zaufana aplikacja Microsoft Store” pod nazwą Skype’a, prawdopodobnie jesteś objęty ochroną.

1626927306 381 Skype jest podatny na paskudny exploit Przelacz sie na wersje

Te dwie aplikacje również wyglądają zupełnie inaczej. Oto wersja „komputerowa”:

1626927306 970 Skype jest podatny na paskudny exploit Przelacz sie na wersje

Jeśli Twój Skype wygląda tak, jesteś narażony na exploit. W takim razie powinieneś odinstalować Skype pobierz wersję Microsoft Store.

Oto wersja Microsoft Store:

1626927307 310 Skype jest podatny na paskudny exploit Przelacz sie na wersje


Jeśli Twój Skype wygląda tak, jesteś bezpieczny: aktualizacje dla tej wersji są obsługiwane przez Microsoft Store, więc luka nie jest istotna.

Szkoda, że ​​Microsoft nie tylko załata tę lukę, ale przynajmniej istnieje działająca wersja Skype, która jest zablokowana. I chociaż interfejs i funkcje wersji Microsoft Store będą dostosowywane, takie rzeczy jak rozmowy telefoniczne i czat działają dobrze w naszych testach, nawet jeśli interfejs oferuje mniej opcji. I hej: w wersji Store nie ma brzydkich reklam, więc to plus.

Czy ten post był pomocny?