Securitate IT: Microsoft Windows elibereaza patch pentru bug-ul publicat de Google

Share This

Pe data de 8 noiembrie apare solutia pentru vulnerabilitatea folosita de hackeri rusi care s-au infiltrate in Comitetului National Democrat

Microsoft a declarat, marti, ca va repara vulnerabilitate pentru Windows saptamana viitoare pe care Google a dezvaluit-o in mod public la doar 10 zile de la notificarea Microsoft.

Microsoft a identificat, de asemenea, atacatorii, afirmand ca ei erau aceiasi care a fost acuzati de catre autoritatile de hacking Comitetului National Democrat (DNC).

„Toate versiunile de Windows sunt acum testate … si intentionam sa lansam [patch-uri] in mod public cu privire la urmatoarea actualizare Marti, 8 octombrie” , a scris Terry Myerson, seful grupului Windows , intr-o postare pe un blog.

Myerson a vorbit de asemenea despre decizia Google de a dezvalui vulnerabilitatea Windows. „Noi credem ca participarea la realizarea unei industrii tehnologice responsabile pune clientul pe primul loc, si impune prezentarea coordonata de vulnerabilitati„, a spus el. „Decizia Google de a dezvalui aceste vulnerabilitati, inainte de existenta unor patch-uri testate si disponibile la scara larga este dezamagitoare si expune clientii la riscuri ridicate.”

Google a publicat acest defect – un bug in Windows kernel – luni, transmitand, de asemenea ca a notificat Microsoft pe data de 21 octombrie. Pentru ca atacatorii exploatau in mod activ vulnerabilitatea, Google a sustinut ca politica adoptata in 2013 de dezvaluire in termen de sapte zile se aplica in cazul de fata.

De asemenea, pe data de 21 octombrie, Google a declarat o vulnerabilitate in Adobe Flash Player; atacatorii foloseau un pachet cu intrebuintari multiple ce putea exploata atat Flach cat si Windows pentru a se infiltra in computere. Adobe a introdus patch-uri pentru acest defect Flash pe data de 26 octombrie.

Google si Microsoft nu sunt la prima confruntare de acest fel. Aceste doua companii au mai dezaluit vulnerabilitati inainte ca partea afectata sa poata sa elibereze patch-uri. Spre exemplu, in anul 2015, Microsoft s-a plans ca Google i-a declarat o vulnerabilitate doar cu cateva zile inainte ca acesta sa fie reparata. Acesta practica, de semnalare reciproca de vulnarabilitati a inceput in anul 2010, cand inginerul de securitate, Tavis Ormandy, de la Google a publicat o vulnarabilitate critica Windows la doar cinci zile dupa declararea acesteia catre Microsoft.

Marti, Myerson a confirmat faptul ca grupul de hackeri ce folosea defectele Windows si Flash a fost Strontium, numele acordat de Microsoft pentru o banda pe care alti profesionisti de securitate i-au etichetat ca APT28 si Fancy Bear. Grupul a fost acuzat de infiltrarea DNC in acest an, si, incepand cel putin cu anul 2007, de atacarea de guverne, baze militare si diplomati din intreaga lume. Autoritatile din SUA au acuzat luna trecuta guvernul rus de infiltrarea DNC, spunand ca inalti oficiali rusi au fost in spatele atacului.

Myerson a scris. „Strontium utilizeaza frecvent conturi de e-mail de la o victima compromisa pentru a trimite e-mail-uri cu malware la a doua doua victima si isi va urmari constant obiectivele prestabilite luni de zile, pana cand acestea sunt atinse si computerele tinte lor sunt compromise.”

Myerson a folosit, de asemenea, atacul pentru a promova din nou Windows 10, repetand afirmatia ca noul sistem de operare este „cel mai sigur pe care l-am construit vreodata.”