Microsoft heeft beslissende actie ondernomen om een functie uitschakelen die voorheen toestond dat Windows-applicaties rechtstreeks vanaf internet konden worden geïnstalleerd, een mogelijkheid die hackers uitbuitten om malware te introduceren. Het bedrijf heeft het ms-appinstaller URI-schema in App Installer versie 1.21.3421.0 en hoger geïdentificeerd en uitgeschakeld vanwege beveiligingsproblemen.
Malwaredistributie gedwarsboomd
Met het ms-appinstaller-protocol konden gebruikers MSIX-verpakte applicaties downloaden en installeren via webpagina’s zonder de bestanden lokaal op te slaan, een gemak dat populair werd onder Windows-gebruikers. Kwaadwillenden hebben echter een manier gevonden om de beveiligingsmaatregelen zoals Microsoft Defender SmartScreen en browserbeveiligingen te omzeilen, wat leidde tot een herintroductie van een malwaredreiging die vergelijkbaar is met de dreiging die wordt beschreven in CVE-2021-43890. Het beveiligingsteam van Microsoft heeft gevallen waargenomen waarin auteurs van malware misbruik maakten van de ms-appinstaller om vertrouwensmechanismen te omzeilen door gebruik te maken van digitale certificaten die zijn uitgegeven door zogenaamde vertrouwde autoriteiten.
Certificaatautoriteiten onder de loep
Nadat het misbruik is ontdekt, werkt Microsoft nu samen met de certificeringsinstanties om de gecompromitteerde certificaten voor codeondertekening in te trekken. Certificaten zijn cruciaal voor de integriteit van apps, omdat ze een digitale handtekening bieden die de identiteit van de uitgever verifieert en ervoor zorgt dat er na de ondertekening niet met de app is geknoeid. Microsoft rekende er eerder op dat app-ontwikkelaars hun pakketten zouden ondertekenen met betaalde certificaten van deze autoriteiten, maar deze recente gebeurtenis heeft tekortkomingen in het certificaatvertrouwensmodel aan het licht gebracht.
Voor ondernemingen die mogelijk het ms-appinstaller URI-schema hebben gebruikt na de herintroductie ervan in augustus 2022 met Windows 11 Insider Preview Build 25147, en voorafgaand aan de geïdentificeerde bedreigingsperiode, er is aanbevolen om bij te werken naar de nieuwste versie van App Installer en het groepsbeleid dienovereenkomstig aan te passen. Het kan zijn dat deze veranderingen inspanningen vergen om over netwerken te worden uitgerold, maar zijn noodzakelijk om de app-distributiekanalen te beveiligen en ervoor te zorgen dat de juiste beveiligingscontroles worden geïmplementeerd.
Microsoft heeft niet officieel gereageerd op de kwestie. De implicaties van dit besluit van Microsoft benadrukken echter de voortdurende uitdagingen waarmee softwaregiganten worden geconfronteerd bij het balanceren van bruikbaarheidsfuncties met robuuste beveiligingsmaatregelen, vooral in een omgeving waarin bedreigingsactoren voortdurend proberen eventuele beschikbare kwetsbaarheden te misbruiken.
