Windows及Chrome被爆有凭证外泄漏洞!
2017-05-17
来自DefenseCode的资安工程师Stankovic本周披露，结合微软Windows及Chrome的安全漏
洞将允许骇客窃取Windows用户的凭证。
这两个漏洞皆与Windows及Chrome浏览器处理SCF档案的方式有关。SCF为介壳命令档（
Shell Command File），主要用来开启档案总管或是显示桌面，由于它也会存取图示档案
，所以当有心人士建立一个恶意的SCF档，并将图示档案置放在由骇客代管的远端SMB伺服
器上时，SMB服务器即可借由Windows的自动认证机制取得使用者的登入密码。
Stankovic指出，若Windows 8或Windows 10用户以微软帐号（Microsoft Account ）作为
系统的登入凭证，那么该SMB服务器等于一次就取得了登入OneDrive、Outlook.com、
Office 365、Skype或Xbox Live的密码。即使这些密码是加密的，但骇客也能利用开放源
码工具加以解密。
至于恶意SCF档案进入Windows的管道则是Chrome浏览器，因为SCF被Chrome视为安全的档
案，不需任何使用者互动即会自动下载，再加上有不少网站都含有反射性档案下载（
Reflected File Download）漏洞，在Chrome用户造访网站并不小心触发该漏洞时，
Chrome就会默默且自动地下载SCF档案。
其实之前Windows中的捷径档（LNK）也曾出现类似的安全漏洞，还成为Stuxnet蠕虫的攻
击途径，微软修补LNK漏洞的方式即是限制LNK只能自本地端加载图示档案，只是此一修补
并未扩及SCF。
此外，除了Chrome之外，不论是IE、Edge、Firefox或Safari等浏览器都不会在未提醒使
用者的状况下直接下载SCF档案，该漏洞影响所有的Windows版本以及最新的Chrome浏览器
http://www.ithome.com.tw/news/114279
又是SMB....
。