Tiếp sau AVG, phần mềm diệt virus của hãng Trend Micro mới đây vừa bị tố gây nguy hiểm cho người dùng, xuất phát từ việc hãng này sử dụng một hàm API đã lỗi thời.
Dựa trên phát hiện mới đây của chuyên gia bảo mật Tavis Ormandy đến từ Google, phần mềm diệt virus của hãng Trend Micro đang tồn tại một lỗi bảo mật khiến người dùng máy tính có nguy cơ bị hacker tấn công. Trùng hợp thú vị khi Ormandy cũng là người đã phát hiện ra lỗi tương tự trên tiện ích diệt virus của AVG cách đây không lâu.
Theo đó, một điểm yếu trong tiện ích Password Manager của Trend Micro đã tạo cơ hội cho hacker có thể chạy các lệnh và mở các chương trình trên máy tính của người dùng. Password Manager được tự động cài đặt khi bạn cài ứng dụng diệt virus của Trend Micro trên máy tính. Ormandy cũng cho biết tất cả các mật khẩu mà Password Manager lưu trên máy cũng có thể bị hacker đánh cắp.
Lỗ hổng này được quy vào việc Trend Micro đã dùng một hàm API cũ để tạo ra một bản build Chromium đã lỗi thời (Chromium là trình duyệt web nguồn mở được dùng để xây dựng Chrome của Google). API mà Trend Micro sử dụng sẽ tạo ra phiên bản Chromium 41 ra đời từ tháng 1/2015, trong khi bản Chromium mới nhất hiện nay đã là bản 49.
Với lổ hổng này, tiện ích của Trend Micro có thể phá vỡ môi trường sandbox (hộp cát) – môi trường được thiết kế để hacker không truy cập được vào các vùng “nhạy cảm” trên hệ thống máy tính, giúp người dùng lướt web được an toàn. Kỹ sư của Google cũng đã demo lỗi bảo mật của Trend Micro bằng cách khởi chạy ứng dụng Windows Calculator mà người dùng không hề hay biết.
Phát hiện của Ormandy tiếp tục làm dấy lên mối lo ngại của người dùng với các tiện ích bảo mật bổ trợ mà các công ty sản xuất phần mềm diệt virus cung cấp. Các tiện ích này không những không bảo vệ được máy tính người dùng, mà thậm chí còn khiến họ gặp nguy hiểm hơn, còn người dùng có thể không bao giờ biết mình đang là nạn nhân của các hacker.
Trend Micro cũng đã lên tiếng xác nhận và cho biết, họ đang nhanh chóng hợp tác với Tavis Ormandy để bịt lỗ hổng trên Password Manager. “Nhờ tinh thần trách nhiệm cao của Tavis Ormandy, chúng tôi đã giải quyết được sự cố nghiêm trọng trên chỉ trong chưa đến 1 tuần” – hãng bảo mật cho biết.