מיקרוסופט שיחררה טלאי חירום לווינדוס שבוע לפני הזמן המתוכנן

לאור עלייה משמעותית במספר ההתקפות, ובעוד האקרים מוצאים עוד ועוד דרכים לנצל לרעה נקודת תורפה קריטית בגרסאות שונות של מערכת ההפעלה Windows, חברת מיקרוסופט החליטה לשחרר טלאי חירום (emergency patch).



הטלאי, מתקן שבע נקודות תורפה שונות במערכת ההפעלה, אולם מתוכן, מומחי אבטחה מודאגים במיוחד מפגם בדרך שבה Windows מעבדת קבצי .ani (קבצים ליצירת אנימציה של סמן העכבר). האקרים עושים שימוש בבאג זה החל מסוף שבוע שעבר בכדי לנסות לתקוף מחשבים ברשת.



כאמור, זוהי רק אחת מתוך 7 נקודות תורפה אותן סיווגה מיקרוסופט כ"קריטיות".



מיקרוסופט נאלצה לשחרר את העדכון שבוע לפני לוח הזמנים המתוכנן, זאת מכיוון שההתקפות הפכו יותר מדי נפוצות, טוען קן דונהאם, מנהל חטיבת הקוד הזדוני בחברת iDefense. "זיהינו יותר מ-400 אתרי אינטרנט שונים המנסים לעשות שימוש בנקודות התורפה הללו, ומספר רב של הודעות אימייל כבר מסתובבות, בניסיון לכוון אנשים לאותם אתרים", הוא מציין.



ההתקפה העושה שימוש בקבצי ה-.ani תהיה ככל הנראה "אחד מסוגי ההתקפה הנפוצים והעקביים ביותר במהלך החודשים והשנים הבאות", אומר דונהאם.



קוד המסייע בבניית התקפה זו כבר הוסף ל-Metasploit, כלי פריצה נפוץ ביותר, ויש גם כלים אוטומטיים ליצירת דפי אינטרנט זדוניים התוקפים אף הם בצורה דומה, הוא מוסיף.



זהו כבר טלאי התוכנה השלישי מאז ינואר 2006 המשוחרר על ידי מיקרוסופט שלא במסגרת לוח הזמנים המתוכנן. בעוד התקפות המבוססות על הבאג בעיבוד קבצי ה-.ani עדיין מוגדרות כ"מוגבלות", דפוסי הפעולה של ההאקרים בכל מה שקשור לנקודת תורפה זו בהחלט מזכירים דפוסי פעולה במקרים של נקודות תורפה שנתגלו בקבצי WMF Windows Metafile, ו-VML Vector Markup Language, נקודות תורפה שתוקנו גם הן במסגרת שני עדכוני התוכנה הבלתי מתוכננים הקודמים, כך לדבריו של מארק מילר, מנהל מרכז התגובות לבעיות אבטחה במיקרוסופט.



מיקרוסופט נתקלה עד כה רק בהתקפות מבוססות רשת, המנסות לעשות שימוש בבאג קבצי ה-.ani "היו מספר אינדיקטורים לכך שנעשה שימוש גם באימייל, אך לא נתקלנו בשום התקפה ממשית כזו", אומר מילר.



הבעיה דווחה למיקרוסופט לראשונה בדצמבר 2006 על ידי חברת האבטחה דטרמינה (Determina).



בכיר בדטרמינה אמר ביום שלישי שטוב היתה עושה מיקרוסופט אילו שיחררה טלאי לתיקון בעיית ה-.ani מוקדם יותר, במקום לחכות לאפריל ולהכריח משתמשים לבצע עדכון חירום מיידי. "הלקוחות צריכים לבצע את אותו התהליך שהיו מבצעים אז, אלא שעכשיו הם עושים את זה בפאניקה", אומר נאנד מולצ'אנדאני, סמנכ"ל השיווק של דטרמינה. "אין לי מושג מדוע לא שחררו את העדכון קודם לכן".



מילר מצידו מגן על ההחלטה של מיקרוסופט באומרו שהפגם בקבצי ה-.ani עלול להשפיע גם על יישומים אחרים, ולכן נדרשה כמות גדולה של בדיקות. "כמות הזמן שנדרשה לתקן את הבעיה היא בהחלט סבירה בהתחשב באיכות אליה אנחנו מחויבים".



לדברי מולצ'אנדאני, מומלץ בחום למשתמשי חלונות להתקין את העדכון החדש מכיוון שהפגם בקבצי ה-.ani יכול לשמש למתקפה על מחשבים המריצים כמעט כל גרסה של מערכת ההפעלה, כולל ויסטה, גם אם הם משתמשים בדפדפן שאינו של מיקרוסופט, כגון פיירפוקס או אופרה.