Windows Vista via microfoon te hacken? *UPDATE*
Een van de nieuwe features in Windows Vista is spraakherkenning. Maar wat als een website een .wav bestand afspeelt en de computer beschikt over boxen, een microfoon en spraakherkenning is ingeschakeld? Inmiddels hebben verschillende mensen dit scenario getest en is het inderdaad mogelijk om de computer commando's uit te laten voeren. Aangezien de User Account Control feature niet omzeild kan worden is het niet mogelijk om bijvoorbeeld rechten aan te passen of nieuwe gebruikers aan te maken.
Het is echter wel mogelijk om bestanden te verwijderen en aanpassingen op de desktop te maken. Ook het starten van de command prompt is mogelijk, maar het verder uitvoeren van commando's niet. George Ou testte het volgende scenario:
- Website zegt "start listening" om Vista in "listening mode" te krijgen.
- Website zegt "start", "windows explorer"
- Website zegt "downloads", "documents", 3, OK, om downloads te selecteren, dan terug te gaan naar documenten en dan de documenten map te selecteren.
- Website zegt "delete", "yes".
- Website zegt "show desktop", "recycle bin", "empty", "yes".
Update 10:44
Microsoft heeft op alle commotie rond de spraakherkenning van Vista gereageerd. Volgens de softwaregigant moet de spraakherkenning op het systeem geactiveerd en geconfigureerd zijn. Daarnaast is het afhankelijk van waar de boxen en microfoon geplaatst zijn, en andere zaken zoals de helderheid en richting. Microsoft laat weten dat gebruikers zich geen zorgen hoeven te maken over de gevolgen van dit probleem voor hun Windows Vista installatie.
rotzooi via spraakherkening gedownload gaat worden. En aangezien Vista
een Microsoft product is, zullen er wel 20 manieren zijn om de
spraakherkenning toch te laten werken ookal zet je het uit.
mogelijk moeten maken om uberhaupt maar iets te kunnen.
Ik denk niet dat men op al die factoren gaat inspelen.
Immers je kunt iemands bureauomgeving niet meten en die
parameters verwerken in een script.
- Unomi -
Echt zo typisch MS dit. Het zou me niks verbazen als Vista
straks een grote security ramp blijkt te zijn.
Spraakbesturing is er al tijden. Dit scenario speelt bij alle
spraakbesturingspakketten.
Dus niets typisch Microsoft....
maken en bla bla bla. DIt is echt wel op een manier te kraken. Ik weet
zeker dat er hier en daar wel een aantal patches zullen verschijnen om dit
probleem te "verhelpen" (met M$ weet je nooit of het probleem verholpen
is, kijk maar naar Word)
computer :)
downloaden, dan wordt namelijk UAC gestart, behalve als men
dit heeft uitgeschakeld. Het is echter niet met zekerheid te
zeggen, het zou wel mogelijk zijn om user-level executables
uit te voeren.
uitvoeren kan dus wel? Lekker nuttig dat de UAC dan wordt
gestart voor .exe files...
Maar .doc bestanden downloaden en hernoemen naar .exe en dan
uitvoeren kan dus wel? Lekker nuttig dat de UAC dan wordt
gestart voor .exe files...
niet oppakken.
[voor sommige: dit is een grapje ;) ]
Na stap 1. luidkeels "NOOOOOOOOOOOOOOOOOOOOOOOOOOOOO"
roepen.
Really, wie gaat er nu wachten tot die website is uitgesproken? Muziek
staat hier sws ook 24/7 op dus TJA. Wat een loze melding.
downloaden,dan wordt namelijk UAC gestart, behalve als men
dit heeft uitgeschakeld.
UAC doet zijn werk dus goed, en dit scenario is wel heel
vergezocht en niet iets waar alleen Vista last van heeft.
Commotie om echt helemaal niets dus.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
