Preinstalirani menadžer lozinki u Windows 10 može da ugrozi sve vaše lozinke

Vesti, 18.12.2017, 01:30 AM

Ako koristite Windows 10, onda na računaru možda imate preinstalirani menadžer lozinki koji omogućava napadačima da daljinski ukradu vaše lozinke.

Počev od Windows 10 Anniversary Update (Verzija 1607), Microsoft je dodao novu funkciju nazvanu Content Delivery Manager koja krišom instalira nove predložene programe bez traženja dozvole od korisnika.

Istraživač iz Googleovog Project Zero tima Tavis Ormandi, otkrio je preinstalirani menadžer lozinki, nazvan "Keeper", na svom sveže instaliranom Windows sistemu koji je preuzeo direktno sa Microsoft Developer Network.

Ormandi nije jedini koji je primetio Keeper Password Manager. Neki korisnici Reddita su se žalili na skriveni menadžer lozinki pre šesst meseci. Jedan od korisnika je prijavio da je Keeper instaliran na virtuelnoj mašini kreiranoj sa Windows 10 Pro.

Kada je saznao da menadžer lozinki sada dolazi instaliran po defaultu na Windows 10, Ormandi je počeo da testira softver i nije mu trebalo dugo da otkrije kritičnu slabost koja vodi do potpunog kompromitovanja sigurnosti Keepera, omogućavajući svim sajtovima da kradu sve lozinke.

Ormandi kaže da ne želi da čuje argument koji mu govore ljudi da je menadžer lozinki koji deli sve lozinke sa svakim web sajtom bolji nego nijedan menadžer lozinki.

Bezbednosni propust u Keeper Password Manageru je skoro identičan onom koji je Ormandi otkrio u Keeper pluginu u avgustu prošle godine koji je omogućavao malicioznim sajtovima da kradu lozinke. Sada se to isto dešava sa ovom verzijom programa.

Da bi objasnio ozbiljnost baga, Ormandi je obezbedio PoC (proof-of-concept) exploit koji krade lozinku za Twitter nalog korisnika ako je sačuvana u Keeperu.

Ormandi je prijavio propust programerima Keepera koji su objavili ispravku za tek objavljenu verziju 11.4, koja je objavljena 6. decembra. Keeper je saopštio da se ovaj propust nije koristio u napadima.

Kada je reč o korisnicima Windowsa 10, Ormandi kaže da oni nisu podložni krađi lozinki, osim ako su otvorili Keeper i omogućili softveru da čuva njihove lozinke.

Ipak, Microsoft mora da objasni kako je Keeper instaliran na računarima korisnika bez njihovog znanja.