Haker: Nie chcecie dać kasy? To pokaże światu waszą dziurę

Windows ma nową lukę bezpieczeństwa typu zero-day, a więc znaną i potencjalnie wykorzystywaną przez cyberprzestępców. Ujawnił ją haker, który w ten sposób chce wywrzeć presję na wyższe nagrody finansowe za pomaganie w zabezpieczaniu Windowsa.

Pewien specjalista ds. cyberbezpieczeństwa opublikował szczegółowe informacje na temat luki bezpieczeństwa we wszystkich objętych wsparciem serwisowym systemach Windows. Dobrym i przyjętym w branży obyczajem jest zgłaszanie tego rodzaju usterek w trybie poufnym producentowi oprogramowania – by nie narażać na niebezpieczeństwo użytkowników tegoż programu. Dopiero gdy producent usunie problem (lub wykaże brak chęci, by go rozwiązać), publikowane są szczegółowe informacje.

Abdelhamid Naceri zdecydował się jednak od razu opublikować szczegóły. Jak tłumaczy na łamach Bleeping Computer, ujawnienie luki ma na celu zmotywowanie firmy Microsoft, by ta zwiększyła kwoty nagród za informacje o tego rodzaju problemach. Firma w ramach programu bug bounty nagradza znalazców finansowo – w zależności od rodzaju usterki na takim znalezisku można zarobić kilka tysięcy dolarów. Przy czym istotnie Microsoft w kwietniu ubiegłego roku obniżył kwoty za tego rodzaju odkrycia. Naceri uważa, że to błąd. Szkoda tylko, że w ramach protestu – słusznego bądź nie – naraża miliony internautów na całym świecie.

Za sprawą usterki, atakująca komputer osoba może przyznać sobie uprawnienia administratora, a więc wprowadzać zmiany w systemie bez uprzedniego uwierzytelnienia. Naceri odkrył ją, analizując jedną z wcześniejszych poprawek do systemu (CVE-2021-41379). Z jego analizy wynika, że Microsoft w sposób niedbały załatał system, w rzeczywistości czyniąc go jeszcze mniej bezpiecznym niż przed zastosowaniem tej łatki. Problem dotyczy Windowsa 10, Windowsa 11 i Windows Server i pozwala atakującemu przejąć kontrolę nad cudzym PC.

Microsoft na razie nie komentuje sprawy. Nie zabrał głosu ani w sprawie usterki, ani też kwot obowiązujących w jego programie Bug Bounty. Niestety, na dziś użytkownik może niewiele zrobić, by bronić się przed potencjalnym atakiem.