Feed Facebook

A-A+

微軟的 Visual Studio 2015 開發工具被爆會自動植入遙測木馬

2016年06月17日 其他, 網路資訊 暫無評論

原文 https://www.infoq.com/news/2016/06/visual-cpp-telemetry
譯者 Shoichi Chou

資訊安全在現代越來越受到重視,其中,防止駭客植入木馬程式,向來是最關鍵的工作方向。然而,如果任何程式被生產出來的當下,就被自動植入木馬呢?如今微軟的開發工具,被爆出這個重大爭議──Reddit 網站上 Sammiesdog 網友發現,Visual Studio 2015 的 C++ 編譯器會在編出來的程式裡偷偷植入木馬──他編譯自己寫的程式時,發現編出來的結果竟然無端多了遠端遙測(telemetry)的呼叫,而且這呼叫,還是在微軟官方文件上沒有記錄的。

2016-06-17_170922
▲Sammiesdog 上傳的螢幕擷圖。

這個截圖經過證實,在 Windows 7 或者 Windows 10 上,只要你使用 Visual Studio 2015 Update 2,就可以使用這段程式碼,來重製這個狀況:

#include “stdafx.h"
#include
int main()
{
return 0;
}

這樣的程式碼,有學過 C++ 語言的人就知道只是一個程式的空框架,只差沒有印出「Hello World」,但是編譯完以後,使用 debug 功能來檢視,赫然會發現被插入了 telemetry_main_invoke_trigger 呼叫。

目前微軟公司 Visual C++ 開發團隊的研發經理 Steve Carroll 已經出面回應,確有此事,而且將會在 Visual Studio 2015 的 Update 3 移除此功能。他解釋這個功能的作用是:

「這段程式碼所做的,是當系統 ETW(Windows 事件追蹤機制)有開啟的時候,觸發一個 ETW 事件,發出時間戳以及模組讀取的狀況。只有當客戶的作業系統有設定要主動跟我們尋求協助,且願意提供 PDB 資訊給我們時,才會啟動功能,我們並沒有要監控所有的客戶,反而目前還是用傳統方法來調查與解決問題。」然而 ETW 已經被爆過有回傳客戶隱私資料的疑慮。

想避開這個「木馬」問題的話,目前使用 Visual Studio 2015 Update 2 的開發者,需要在編譯的設定上,把「notelemetry.obj」檔案加入連結器的命令列(已經被 Carroll 確認有效)。

目前微軟官方發言人也已經確認此事,表示新版本將解決這問題,不過目前還沒有訂出時間表,所以使用微軟開發工具的開發者就得多留意了。

標籤:

給我留言