Felizmente, você pode evitar completamente o problema substituindo a versão “desktop” do Skype pela disponível na Microsoft Store. Ainda assim, é embaraçoso para o software da própria Microsoft ter uma falha fundamental, e a exploração em questão é uma que Redmond alertou outros desenvolvedores sobre várias vezes.
Veja como essa exploração funciona e como você pode se certificar de que está usando a versão segura do Windows Store do Skype.
O que há de errado com o Skype?
A atualização do software deve mantê-lo seguro, mas, ironicamente, no caso do Skype, a atualização é o problema. Isso porque a falha não está no Skype, mas na ferramenta usada pelo Skype para encontrar e instalar atualizações. Esta ferramenta de atualização é vulnerável a hjjacking DLL, como o pesquisador Stefan Kanthak descreve:
This executable is vulnerable to DLL hijacking: it loads at least UXTheme.dll from its application directory %SystemRoot%Temp instead from Windows’ system directory. An unprivileged (local) user who is able to place UXTheme.dll or any of the other DLLs loaded by the vulnerable executable in %SystemRoot%Temp gains escalation of privilege to the SYSTEM account.
Basicamente, o Skype executa DLLs da pasta Temp, que os usuários podem acessar sem direitos de administrador. Isso torna trivial para os agentes mal-intencionados desligar as DLLs e obter controle de nível do sistema sobre o computador. Esse é o tipo de vulnerabilidade que a Microsoft especificamente avisa os desenvolvedores para evitar, mas a equipe do Skype da Microsoft parece ter perdido esse memorando específico.
E fica pior. A Microsoft disse a Kanthak que eles "conseguiram reproduzir o problema", mas não haverá um patch para resolver o problema. Em vez disso, a Microsoft planeja resolver o problema durante a próxima grande versão do Skype - não está claro quando isso acontecerá.
Isso é … não é ideal. Felizmente, há uma alternativa.
A solução: use a versão da Windows Store
A Microsoft oferece duas versões do Skype para Windows: a versão “Desktop”, que existe há muito tempo, e a versão da Plataforma Universal do Windows (UWP), que você pode baixar do aplicativo da Microsoft Store junto com o Windows. Apenas a versão para desktop é vulnerável a essa exploração específica, porque somente a versão para desktop usa sua própria ferramenta de atualização.
A Microsoft tem empurrado os usuários para a versão do Skype da Microsoft Store há algum tempo: a página de download do Skype direciona os usuários para a Loja, por exemplo. Mas muitos usuários ainda têm a versão desktop em seus sistemas, e eles devem desinstalar isso e usar somente a versão Store se quiserem ficar seguros contra essa exploração.
Como você pode dizer qual versão você tem? A maneira mais simples é procurar por “Skype” no menu inicial. Se você vir as palavras "aplicativo Trusted Microsoft Store" abaixo do nome do Skype, provavelmente estará coberto.
Veja a versão da Microsoft Store:
É lamentável que a Microsoft não conserte apenas essa vulnerabilidade, mas pelo menos há uma versão funcional do Skype que está bloqueada. E, embora a interface e os recursos da versão da Microsoft Store sejam um ajuste, coisas como chamadas e bate-papo funcionam bem em nossos testes, mesmo que a interface ofereça menos opções. E ei: não há anúncios feios na versão da loja, então isso é uma vantagem.
