微軟Cortana現漏洞：可繞過鎖屏密碼直接訪問網站

2019-09-06 22:12:03

字體：大中小

來源：轉載

供稿：網友

北京時間3月7日下午消息，日前，兩個來自以色列的安全研究人員就找到了利用微軟語音助手Cortana，在已經鎖定的Windows PC上下載惡意程序的方法。Cortana不但成為了普通用戶的好幫手，還有可能成為黑客們的好幫手。

不久前微軟對Cortana進行了升級，讓用戶在電腦鎖定的狀態下也能使用這個虛擬語音助手。這個功能本身其實并不稀奇，蘋果的Siri和谷歌Assistant都能在智能手機上實現該功能。一般情況下，設備在鎖定的時候，用戶可使用的功能都非常有限，至少谷歌Assistant和蘋果Siri就是這樣做的。然而Cortana卻和前兩者不太一樣。

即使在計算機處于鎖定的情況下，用戶也可以讓Cortana打開網站。在收到用戶的指令之后，Cortana會盡職盡責地打開網站，然而它的操作對于普通用戶來說毫無意義，因為打開的頁面不會顯示在鎖屏界面上。但是在黑客眼中，Cortana的這個特點為他們打開了在未授權的情況下接入計算機的大門，甚至還可以介入處于同一網絡下的其他計算機。

前文提到的兩名安全研究員將一個帶有網絡適配器的USB設備插入了電腦，該設備可以截獲計算機的網絡請求，并且將這些網絡請求重定向另一個含有惡意程序的網站。之后這個網站會自動將惡意軟件下載并安裝到計算機上。當這臺計算機被感染之后，它能夠使用多種方法感染同一網絡下的其他計算機。

微軟表示他們已經知曉了這個漏洞，但是他們的回應卻有些讓人啼笑皆非：在計算機處于鎖定狀態下，如果用戶要求Cortana打開網頁，Cortana將不再直接打開用戶請求的網站，而是重定向至必應搜索。但是這種做法依然允許Cortana在鎖定狀態下對用戶的指令做出相應。目前安全研究人員正在尋找其他類似的方法，利用Cortana繞過計算機鎖定密碼。目前暫時的解決辦法是通過設定讓Cortana只對你的聲音做出回應，其他人的語音指令會被系統忽略。

上一篇：蘋果確認用戶iCloud遭入侵隱私安全體系或存漏洞

下一篇：GitHub遭遇史上最大規模DDoS攻擊