Ako je za vjerovati sigurnosnim stručnjacima tvrtke Optiv, IT div iz Redmonda je usprkos upozorenjima čekao mjesecima prije krpanja nezgodne sigurnosne rupe u programu za uređivanje teksta Word. Do tada su hakeri u više navrata iskoristili propust. Zašto je Microsoft dopustio ovakvo što?
Sigurnosni propust poznat pod oznakom CVE-2017-0199 omogućavao je napadaču da preuzme kontrolu nad računalom uz vrlo malo tragova. Microsoft je stvar zakrpao 11. travnja, no za to je bilo potrebno vrtoglavih devet mjeseci. Sigurnosni stručnjaci smatraju kako je ovo 'neuobičajeno mnogo vremena'.
Štoviše, Googleovi sigurnosni stručnjaci drugima daju upozorenje od tek 90 dana prije nego javno objave sigurnosne propuste koje su našli. Microsoft je odbio reći Reutersu koliko im obično treba za krpanje sigurnosnih propusta.
vezane vijesti
I dok je Microsoft istraživao sigurnosni propust u Wordu, hakeri su ga iskorištavali za koješta: krađu novca s australskih i drugih bankovnih računa - pa i za praćenje neidentificiranih ruskih govornika, izgledno u Ukrajini, prenosi Reuters. Ove pronalaske je Microsoft i službeno potvrdio.
Sami propust je u sprnju prošle godine otkrio Ryan Hanson, konzultat u sigurnosnoj tvrtki Optiv. On je pronašao metodu koja iskorištava Wordovu obradu dokumenta kada je riječ o nekom drugom formatu te u to integrirao poveznicu na maliciozni kod kojim se može preuzeti kontrola nad računalom. Hanson je proveo neko vrijeme analizirajući propust te ga čak uspješno kombinirao s drugim propustima kako bi stvar postala još ubojitija. Naposljetku je u listopadu prošle godine priopćio cijeli problem Microsoftu.
U Redmondu su stvar mogli zakrpati nedugo nakon toga, no...čini se da stvari nisu bile tako jednostavne. Jednostavna izmjena postavki u Wordu mogla je onemogućiti rupu, no to bi značilo da obavještavanjem svojih korisnika Microsoft signalizira bug i kriminalcima...
Druga opcija je bila razvoj sigurnosne zakrpe te njena primjena na nekim od mjesečnih nadogradnji paketa. Međutim, u Microsoftu su odlučili detaljnije analizirati stvari, potpuno nesvjesni toga da je rupa već iskorištena.
'Htjeli smo identificirati neke slične metode napada na računalo i osigurati se da je apsolutno sve u tom smislu zakrpano. Ovo je bila izrazito složena istraga', izjavio je Microsoftov glasnogovornik za Reuters pod uvjetom da ne bude imenovan.
Kako je vrijeme prolazilo, sve više sigurnosnih stručnjaka nalazilo je isti propust, a Microsoft ga još uvijek nije bio zakrpao. McAfee je, okrivivši 'lošu komunikaciju' s Microsoftom objavio detalje vezane uz propust prije nego je zakrpa postala službeno dostupna, čime je postala vidljiva još većem broju kriminalaca.
To se i dogodilo. Napadi preko tog sigurnosnog propusta postali su svakodnevicom. Konačna šteta nije poznata - nejasno je u koliko su točno računala hakeri uspješno provalili, a nejasno je i koliko je točno novca ukradeno istom metodom.
