Windows 10 z preinstalowanym password managerem. Z krytyczną podatnością.

Chodzi o managera haseł Keeper, który zaczął pojawiać się jako preinstalowany w Windowsie 10 (czasem przy świeżej instalacji, ale również dla użytkowników, którzy Windowsa instalowali już jakiś czas temu). Niektórzy nawet raportują że aplikacja ta (i kilka innych) jest doinstalowana „w tle” przez Microsoft, nawet jeśli zostanie wcześniej ręcznie odinstalowana…

Korzystając z managera haseł bardzo wiele osób korzysta z rozszerzeń przeglądarkowych oferowanych przez producenta danego narzędzia, co pozwala bajecznie prosto uzupełnić hasło na danej domenie (w banku, na Facebooku, do webmaila, itp). W tym przypadku bajecznie prosto można było wykraść hasła korzystając z odpowiednio podstawionej strony która atakowała właśnie wspomniany wyżej plugin przeglądarkowy:

Nevertheless, this is a complete compromise of Keeper security, allowing any website to steal any password.

Działanie można zobaczyć na zrzucie poniżej – mamy dostęp do wszystkich haseł – na przykładzie poniżej hasło do Twittera:

Keeper… wykradanie hasła

Podatność została załatana w 24h od zgłoszenia.