Schwere Skype-Schwachstelle wird vorerst nicht gepatcht

Im kostenfreien Web-Messaging- und Sprachanruf-Dienst Skype wurde eine schwerwiegende Sicherheitslücke entdeckt, durch die Angreifer möglicherweise die volle Kontrolle über den Computer erlangen können.

Laut Microsoft: Der Fehler konnte nachvollzogen werden. Dennoch bedarf die Behebung des Fehlers einen großen Aufwand bzw. eine erhebliche Neuprogrammierung der Software.

Die Sicherheitsanfälligkeit wurde von dem Sicherheitsexperten Stefan Kanthak im Update-Installationsprogramm der Dynamic Link Libraries (DLL) in Skype entdeckt und bereits im September an Microsoft gemeldet.

Nach Ansicht des Forschers könnte ein potenzieller Angreifer die Funktionalität des Windows-DLL-Ladeprogramms ausnutzen. Kriminelle könnten eine bösartige Version einer DLL-Datei in einen temporären Ordner eines Windows-PCs herunterladen und diese einer legitimen DLL entsprechend anpassen. Wenn nun das Update-Installationsprogramm von Skype versucht, die relevante DLL-Datei zu finden, wird zuerst die schädliche DLL geladen und darüber der Schadcode installiert, womit potenzieller Vollzugriff auf das System möglich würde. Die Sicherheitslücke wurde als “mittelschwer” eingestuft.

Update 16.02: Der Forscher Stefan Kanthak weist hier auf die Verwundbarkeiten des Skype-Installationsprogramms hin.*

Welche Systeme sind betroffen?

Zu beachten ist, dass die Sicherheits-Anfälligkeit nur Skype-Desktop-Anwendungen betrifft, die das Update-Installationsprogramm verwenden. Die Universal Windows Platform-App Version, die aus dem Microsoft Store für Windows 10 Systeme verfügbar ist, ist hierbei nicht betroffen.
Der Sicherheits-Experte demonstrierte den Angriff auf einem Windowssystem und geht davon aus, dass diese “DLL-Hijacking-Methode” auch auf anderen Betriebssystemen funktionieren könnte, einschließlich der Skype-Versionen für Mac OS und Linux.

Im September wurde Microsoft über die Sicherheitslücke in Skype informiert. Microsoft antwortete, dass der Patch für das Skype-Update-Installationsprogramm “eine große Code-Revision” erfordern würde.

Bis Microsoft eine vollständig neue Version des Skype-Clients herausgibt, sollten Benutzer Vorsicht walten lassen und tunlichst vermeiden, auf dubiose Anhänge in E-Mails bzw. Messenger-Nachrichten zu klicken. Außerdem sollen Benutzer sicherstellen, dass eine geeignete und aktualisierte Antiviren-Software auf dem Computer betrieben wird.

Seien Sie kritisch beim Lesen dubioser E-Mails und derer Anhänge, auch wenn Sie persönlich angesprochen werden.

Ellen Kilbouren von Microsoft hat sich offiziell zur Sicherheitslücke im Skype-Updater geäußert.

Update für Skype für Windows-Desktop-Installer – Version 7.40 und niedriger

Bei Skype nehmen wir Sicherheit sehr ernst. Es gab ein Problem mit einer älteren Version des Skype Desktop-Installationsprogramms – Version 7.40 und niedriger. Wir haben diese ältere Version von Skype für Windows Desktop von unserer Webseite skype.com entfernt. Das Installationsprogramm für die aktuelle Version von Skype für Windows-Desktop Version 8 hat dieses Problem nicht und es ist seit Oktober 2017 verfügbar.

Also mit anderen Worten: Der Installer in der neusten Skype Version 8 wurde bereits im Oktober gefixt. Da kommt schnell der Verdacht auf, die Berichterstatter vieler Blogs haben doch zu vorschnell gearbeitet und diese Sicherheitslücke zu sehr aufgebauscht? Günter Born bringt die Tatsachen zur beschriebenen Sicherheitslücke in seinem Blog auf den Punkt.

Weitere Tipps wie Sie das System absichern können

  1. Wichtiger denn je, machen Sie regelmäßig Backups von Ihren wichtigen Daten und bewahren Sie diese getrennt vom Rechner auf. Schauen Sie sich dazu das kostenfreie EaseUS Todo Backup an. Oder lesen Sie hier, wie Dateien über Windows gesichert werden können>>
  2. Deaktivieren Sie Macros in Office, laden Sie Dokumente nur aus vertrauenswürdigen Quellen! Gut zu Wissen: Macro-Infektionen sind in alternativen Office-Anwendungen wie Libre-Office nicht funktionsfähig.
  3. Überprüfen Sie Ihren Rechner mit unseren kostenfreien EU-Cleanern>>
  4. Schützen Sie Ihren Computer vor einer Infektion, indem Sie das System immer up-to-date” halten! Spielen Sie zeitnah Anti-Viren- und Sicherheits-Patches ein.
  5. Ändern Sie die Standardeinstellung von Windows, welche die Datei-Erweiterungen ausblendet>>
  6. Seien Sie kritisch beim Öffnen von unbekannten E-Mails. Klicken Sie nicht auf integrierte Links, bzw. öffnen Sie niemals unbekannte Anhänge.
  7. Arbeiten Sie immer noch am Computer mit Admin-RechtenÄndern Sie die Berechtigungen beim täglichen Arbeiten auf ein Mindestmaß und richten Sie die Benutzerkontensteuerung (UAC) für ausführbare Programme ein.
  8. Verwenden Sie unbedingt eine professionelle Anti-Viren-Software, auch auf einem Mac.

Tipp vom Botrei-Team:
Wenn Sie professionelle Hilfe benötigen, melden Sie sich bitte in unserem kostenfreien Forum an und erstellen einen Beitrag. Die Experten dort helfen “Schritt für Schritt” bei der Behebung des Problems.

 

*Fälschlicherweise hatten wir Stefan Kanthak an dieser Stelle falsch zitiert, was wir bedauern und hiermit korrigieren.