Microsoft bịt lỗ hổng cực kỳ nghiêm trọng của Windows

Gã khổng lồ phần mềm vừa phát hành loạt miếng vá dành cho một lỗ hổng cực kỳ nghiêm trọng (critical) bên trong tất cả các phiên bản Windows gần đây, vốn cho phép kẻ tấn công giành quyền kiểm soát hệ thống.

Theo như khuyến cáo của Microsoft, khoan sâu vào lỗ hổng có mã số MS09-006, hacker sẽ có thể kích hoạt mã độc từ xa sau khi lừa người dùng xem một file ảnh "đen". Lỗ hổng này ảnh hưởng đến các hệ điều hành Windows 2000, XP, Vista, Server 2003 và Server 2008.

"Kẻ tấn công có thể gửi email cho bạn, bên trong là một hình ảnh bị nhiễm mã độc. Hoặc chúng sẽ lừa bạn ghé thăm một website có chứa ảnh "độc". Bọn chúng có vô vàn thủ đoạn để khiến bạn sập bẫy", chuyên gia bảo mật Wolfgang Kandek cho biết.

Những file ảnh "độc" được tạo ra dưới hai định dạng .WMF (Windows MetaFile) hoặc .EMF (Enhanced MetaFile) nhưng hacker sẽ nguỵ trang cho chúng lớp vỏ của các định dạng thông dụng như .JPG. Với chiêu này thì ngay cả những người dùng thận trọng cũng vẫn có thể bị lừa như thường, ông Alfred Huger, Phó Chủ tịch Symantec Security Response nói thêm.
Cũng được vá trong bản tin bảo mật tháng 3 là hai lỗ hổng thuộc hàng "quan trọng" (important). Chúng cũng ảnh hưởng đến các hệ điều hành Windows nói trên và có thể bị hacker lợi dụng để tấn công/ lừa đảo phishing.

Một trong số những miếng vá quan trọng nhắm đến Windows 2000, Server 2003 và Server 2008. Nó khắc phục hai lỗ hổng mà Microsoft chưa công bố, cùng với hai lỗ hổng đã bị "vạch trần" trên Internet của Windows DNS Server và Windows WINS (Máy chủ tên miền Internet Windows).

Những lỗ hổng này đều cho phép hacker thay đổi hướng đi của dòng dữ liệu, từ đó dẫn người dùng tới một website độc thay vì địa chỉ dự định.

Miếng vá quan trọng còn lại thì tác động đến toàn bộ các phiên bản Windows mới, xử lý một lỗ hổng bên trong gói bảo mật Secure Channel của Windows. Nó cho phép hacker giành quyền truy cập vào phần mềm xác thực người dùng, từ đó tiếp cận hệ thống và các file nhạy cảm.

Tuy nhiên, Microsoft lại chưa thể phát hành miếng vá cho một lỗ hổng bên trong phần mềm bảng tính Excel, vốn đã bị công khai mã tấn công zero-day trên nhiều diễn đàn. Đồng thời, một lỗ hổng zero-day của Word-Pad được phát hiện từ tháng 12 năm ngoái cũng chưa được "thanh toán".