Помилка браузера Windows 10 дозволяє хакерам вкрасти ваші паролі

Виправте інсталяцію Windows 10, якщо ви цього не робили останнім часом - є серйозна помилка браузера Edge, яка може дозволити віддаленому зловмиснику вкрасти паролі та іншу конфіденційну особисту інформацію з вашого комп’ютера.

Помилка, виявлена турецьким дослідником безпеки Зіяханом Албенізом, пов'язана з тим, як Edge обробляє локальні файли. Як і всі веб-переглядачі, Edge може так само легко відображати HTML та інші файли, сумісні з браузером, які є на вашому комп’ютері, як і веб-сторінки (які насправді є лише файлами HTML на чужому комп’ютері).

Щоб усунути цю ваду на вашому комп'ютері, запустіть червневі або липневі пакети оновлень безпеки, видані корпорацією Майкрософт, якщо ваша машина не налаштована на автоматичне оновлення. Ви можете перейти до Налаштування, потім Оновлення та безпека, а потім Перевірити наявність оновлень. Якщо ви повністю оновлені, ви вже зробили.

ДАЛІ: Як користуватися Windows 10

Проблема тут у тому, що до червневих оновлень безпеки Edge, "новий" браузер Microsoft, не захищав себе від шкідливих локальних файлів - лише шкідливих файлів на віддалених веб -серверах. Це тупий, але зрозумілий нагляд, як сказав Албеніз у своєму блозі на сайті свого роботодавця, лондонської охоронної фірми Netsparker.

"Одне, що часто пропускається у подібних, нових проектах розробки, - це знання, отримані за роки невеликих виправлень безпеки на оригінальному продукті [тобто Internet Explorer]", - написав Албеніз. "Саме ці виправлення безпеки та знання, що додаються до них, можуть втратитися при переробці веб -браузера. Це може пояснити, чому Microsoft Edge був єдиним веб -переглядачем, який я виявив уразливим до цієї вади".

Через цю помилку шахрай може надіслати вам електронний лист у вигляді вкладення. Якщо ви відкрили або попередньо переглянули файл у вбудованій програмі пошти Windows 10, яка використовує Edge для відображення файлів HTML, файл негайно зможе читати та копіювати інформацію з усіх інших сумісних із браузером файлів на вашому комп’ютері, таких як текстові файли , JPEG.webp та GIF.webp.

Файл може надсилати будь -яку зібрану інформацію на віддалений сервер. Це не обов'язково повинен бути складний файл-шкідливий файл доказу концепції Albeniz складається з 19 рядків загальною вартістю 931 кілобайт.

Так що, думаєте? Ну, багато людей записують паролі, номери банківських рахунків та іншу важливу інформацію у текстових файлах, що зберігаються на їхніх робочих столах. Албеніз опублікував відео, де показано, як могла статися атака.

"Напевно, немає антивірусної програми, яка б розпізнавала мій файл як шкідливий, і я міг би витягти файли через безпечне з'єднання HTTPS", - зазначив Албеніз. "Це те, що робить цю атаку такою прихованою".

Кредит зображення: Т. Даллас/Шуттерсток