Исследователь Джимми Бэйн (Jimmy Bayne), работающий в сфере информационной безопасности, обнаружил лазейку в настройках тем оформления Windows 10, которая может использоваться злоумышленниками для кражи учётных данных ОС. Для этого необходимо создать особым образом сконфигурированную тему, которая позволит провести атаку типа Pass-the-hash.

Операционная система Windows позволяет создавать собственные темы оформления и обмениваться ими через интерфейс настроек. Когда пользователь сохраняет тему, создаётся файл с расширением «.theme». Если же он решит поделиться с кем-либо своей темой, то она будет упакована в файл с расширением «.deskthemepack», который можно передать по электронной почте или каким-то иным способом.

Аналогичным образом злоумышленники могут создавать файлы «.theme», при открытии которых пользователи будут перенаправляться на веб-сайт, требующий аутентификации. Когда пользователи вводят свои данные, на сайт отправляется NTLM-хеш. Из него с помощью специального программного обеспечения могут быть извлечены пользовательские учётные данные.

Один из способов защиты от подобных атак заключается в поиске и блокировке файлов с расширениями «.theme», «.themepack» и «.desktopthemepackfile». Кроме того, с помощью групповых политик можно ограничить отправку хешированных учётных данных NTLM на удалённые узлы.

Исследователь отмечает, что он сообщил в Microsoft об обнаруженной проблеме, но разработчики всё ещё её не устранили. Представители Microsoft пока никак не комментируют данный вопрос.

Программная платформа Windows 10 поставляется вместе с предустановленными приложениями, удалить некоторые из которых обычными средствами нельзя. Несколько дней назад обновилась документация Microsoft, из которой стало известно, что невозможность удаления некоторых приложений связана с их взаимосвязанностью с другими функциями и компонентами операционной системы.

За последние годы Microsoft расширила список предустановленных приложений Windows 10, которые могут быть удалены пользователями. В настоящее время даже Paint и Notepad могут быть легко удалены, если в них нет необходимости. Однако на смену им приходят другие приложения, такие как «Ваш телефон» (Your Phone) и Microsoft Edge, удаление которых с помощью стандартных средств в новых версиях Windows 10 невозможно.

Документация Microsoft говорит о том, что некоторые приложения нельзя удалить из операционной системы из-за того, что они связаны с другими функциями платформы. Например, обновлённый несколько дней назад документ поддержки говорит о том, что новый браузер Edge на базе Chromium является важным компонентом системы и используется для поддержки приложений, использующих веб-интерфейс.

«Поскольку Windows поддерживает приложения, основанные на веб-платформе, наш браузер по умолчанию является важным компонентом операционной системы и не может быть удалён», — сказано в обновлённом документе Microsoft.

Аналогичным образом, в другом документе поддержки Microsoft отмечается, что пользователи не могут удалить приложение «Ваш телефон», поскольку оно глубоко интегрировано в Windows, чтобы «обеспечить взаимодействие между несколькими устройствами».

Конечно, пользователи всё ещё могут удалить приложения вроде «Ваш телефон» или Edge с помощью PowerShell или какого-то стороннего инструмента. Однако важно понимать, что удаление из ОС приложений, связанных с другими функциями и компонентами, может привести к появлению разного рода проблем, связанных с работоспособностью системы.