Aggiornato il: 12-02-2021 08:50
Il celebre software di messaggistica e videochat Skype, freeware e da tempo proprietario di Microsoft (che l’ha acquisito nel 2011), sarebbe affetto da una falla informatica di entità media che, per quanto ne sappiamo ad oggi, può essere mitigata solo via sistema operativo; in sostanza Microsoft non sembra avere intenzione di correggerla nel breve periodo, secondo HackerNews per via del fatto che ciò comporterebbe riscrivere buona parte del codice dell’applicazione. Ovviamente questo deve essere tenuto in conto dagli utenti che ne fanno uso per quanto, come spesso può accadere, non deve diventare una notizia tale da diffondere il panico o far disinstallare il software.
La falla – su cui trovate qui informazioni ufficiali – interessa solo la versione per Windows (ed il particolare il programma di aggiornamento delle versioni, o updater), e si basa su una particolare DLL (libreria di sistema) attraverso la quale sarebbe possibile introdurre qualsiasi tipo di file all’interno dell’applicazione, sulla base di una ricerca all’interno di aree di sistema predefinite, ed ingannando cosଠla stessa. Il file in questione è ntshrui.dll, e se fosse introdotto in versione modificata o affetta da virus sarebbe in grado di infettare sia Skype che Internet Edge, proprio perchè la cercano in quella posizione. L’attacco in realtà riguarda Windows, nel senso che è noto come DLL Search Order Hijacking, e si tratta di un tipo di falla informatica sfruttabile in modo malevolo conoscendo l’ordine di caricamento delle librerie, ed effettuando a certe condizioni una privilege escalation.
Pertanto il ricercatore Stefan Kanthak ha scoperto che il software di aggiornamento di Skype può essere oggetto di tale tecnica di hacking, ed un virus potrebbe essere quindi in grado di introdurre nel sistema, in modo subdolo, una DLL infetta o in grado di prendere il controllo del sistema operativo della vittima. Come potrebbe essere sfruttata questa falla è presto detto: navigando sul web sotto Windows, ad esempio, potremmo imbatterci in un banner che ci suggerisca di aggiornare Skype all’ultima versione, e quindi andremmo a scaricare una versione fake del software con eventuali conseguenze catastrofiche per il nostro computer. Ovviamente si tratta solo di un esempio per far capire di cosa parliamo anche ai non addetti ai lavori, motivo per cui – visto che la falla non potrà essere risolta immediatamente, per motivi di tempo – l’utente deve comunque fare massima attenzione a quello che scaricare ed installa, ricordando che è il sistema operativo a dare notifica della necessità di aggiornamenti (oppure al limite i software stessi lo fanno) e non certamente una finestra del browser.
(fonte)
