Microsoft noemt de openbaarmaking van de Windows Zero Day-exploit van Google 'teleurstellend' en vermeldt nadrukkelijk niet dat er miljarden niet-gepatchte Android-telefoons zijn

Google heeft onlangs een niet-gepatchte kwetsbaarheid van 0 dagen in Windows onthuld, nadat het Microsoft slechts 7 dagen vanaf de melding had gegeven om een ​​patch uit te brengen.

Dit leidde ertoe dat de informatie over de hack in het wild werd vrijgegeven voordat Microsoft een patch kon ontwikkelen, waardoor een miljard Windows-gebruikers in gevaar kwamen.

Het excuus van Google was dat het gat al actief werd uitgebuit, maar in een reactie vandaag verdedigde Terry Myerson Microsoft's Executive Vice President, Windows and Devices Group, Microsoft en uitte hij zijn teleurstelling over het gedrag van Google.

Microsoft legde uit dat de exploits in het wild zogenaamde 'spear-phishing'-aanvallen waren, dwz. in kleine hoeveelheden naar specifieke mensen worden verzonden, in plaats van op grote schaal te worden verspreid onder het grote publiek.

Bovendien waren Microsoft-gebruikers met de nieuwste versie van Windows 10, de Windows 10-jubileumupdate, die ook Edge gebruiken, al beschermd. Vanwege de inspanningen van Microsoft om de uitrol van updates te forceren, waarvan nu duidelijk is aangetoond dat het een goed idee is, gebruikt volgens AdDuplex-gegevens al 76% van de Windows 10-gebruikers de nieuwste versie.

Terry zei dat Windows het enige platform was met een toezegging om gerapporteerde beveiligingsproblemen te onderzoeken en de getroffen apparaten zo snel mogelijk proactief bij te werken en zei dat er al een patch werd getest voor release op 8 november, dwz Patch Tuesday.

Terry suggereerde natuurlijk dat Google zijn verantwoordelijkheid jegens Android-gebruikers niet even serieus nam, met een groot percentage Android-gebruikers op oudere versies van het besturingssysteem die geen OS-updates hebben.

Bovendien kunnen Windows-gebruikers opmerken dat Edge een diepgaande verdediging bood door maatregelen voor code-integriteit en andere beveiligingsprocedures te implementeren die duidelijk niet worden toegepast door de Chrome-browser van Google.

Microsoft raadde alle klanten aan om te upgraden naar Windows 10 en noemde het het veiligste besturingssysteem dat ze ooit hebben gebouwd, compleet met geavanceerde bescherming voor consumenten en ondernemingen op elke laag van de beveiligingsstack.

Microsoft's visie van een miljard Windows-gebruikers die allemaal de allernieuwste versie van het besturingssysteem gebruiken, die allemaal automatisch up-to-date zijn, betekent dat Windows de komende jaren een reputatie kan opbouwen als het veiligste besturingssysteem om te gebruiken.

Lees hieronder het volledige bericht van Terry Myerson:

Windows is het enige platform met een commitment van de klant om gerapporteerde beveiligingsproblemen te onderzoeken en de getroffen apparaten zo snel mogelijk proactief bij te werken. En we nemen deze verantwoordelijkheid zeer serieus.

Onlangs voerde de activiteitengroep die Microsoft Threat Intelligence STRONTIUM noemt, een kleine spear-phishing-campagne uit. Het is bekend dat klanten die Microsoft Edge gebruiken op de Windows 10-jubileumupdate, worden beschermd tegen versies van deze aanval die in het wild worden waargenomen. Deze aanvalscampagne, oorspronkelijk geïdentificeerd door de Threat Analysis Group van Google, maakte gebruik van twee zero-day-kwetsbaarheden in Adobe Flash en de down-level Windows-kernel om een ​​specifieke groep klanten aan te vallen.

We hebben samengewerkt met Google en Adobe om deze kwaadaardige campagne te onderzoeken en een patch te maken voor down-level versies van Windows. Langs deze lijnen worden patches voor alle versies van Windows nu getest door veel deelnemers uit de industrie, en we zijn van plan ze openbaar uit te brengen op de volgende update dinsdag 8 november.

Wij zijn van mening dat een verantwoordelijke deelname van de technologie-industrie de klant centraal stelt en gecoördineerde openbaarmaking van kwetsbaarheden vereist. Het besluit van Google om deze kwetsbaarheden bekend te maken voordat patches algemeen beschikbaar zijn en getest zijn, is teleurstellend en brengt klanten met een verhoogd risico.

Om dit soort geavanceerde aanvallen aan te pakken, raadt Microsoft alle klanten aan om te upgraden naar Windows 10, het veiligste besturingssysteem dat we ooit hebben gebouwd, compleet met geavanceerde bescherming voor consumenten en ondernemingen op elke laag van de beveiligingsstack. Klanten die Windows Defender Advanced Threat Protection (ATP) hebben ingeschakeld, zullen de poging tot aanvallen van STRONTIUM detecteren dankzij ATP's generieke gedragsdetectieanalyses en up-to-date bedreigingsinformatie.

-Terry

Lees meer over de exploit en De beperkende maatregelen van Microsoft hier.