Microsoft kondigde begin vorige maand aan een speciale, beperkte versie van Windows 10 te lanceren, onder meer voor het onderwijs. Windows 10 S heet dit nieuwe besturingssysteem, dat onder meer standaard op de nieuwe Microsoft Surface Laptop staat. De S staat onder meer voor speed en security. Doordat bepaalde instellingen afwezig zijn en je geen software van buiten de Windows Store kan installeren wordt dat bereikt. Dat betekent echter niet dat Windows 10 S ook echt waterdicht is.
Dat elk besturingssysteem kwestbaar is voor lekken mag duidelijk zijn. iOS, dat door Apple nog veel verder dicht is gezet dan Windows 10 S, is daar het schoolvoorbeeld van. Apple moet regelmatig beveiligingsupdates uitbrengen nadat er ernstige lekken zijn ontdekt. Dat Windows 10 S ook kwetsbaar is voor internetcriminelen is dan ook logisch, maar het besturingssysteem schijnt wel erg makkelijk te hacken te zijn.
Dat stelt tenminste beveiligingsonderzoeker Matthew Hickey van Hacker House. Hij probeerde in opdracht van techsite ZDNet Windows 10 S te hacken, om precies te zijn: om ransomware te installeren. Dit kostte hem slechts drie uur.
“Ik ben eerlijk gezegd verbaasd over hoe makkelijk het was. Toen ik keek naar hoe ze het nieuwe besturingssysteem in de markt zette, had ik verwacht dat ze het verder verbeterd hadden”, aldus Hickey.
Macro’s
De onderzoeker gebruikte de macro’s in Microsoft Word om zijn opdracht uit te voeren. Dit zijn scripts die je kunt toevoegen aan Word-documenten en die zijn al sinds een jaar en dag een perfecte plek om kwaadaardige software in te verwerken. Daarbij moet wel worden opgemerkt dat zo’n macro niet kan worden gebruikt als het bestand van internet wordt gedownload. Het moet vanuit een ‘betrouwbare bron’ komen, bijvoorbeeld vanaf een usb-stick. Dit beperkt de risico’s aanzienlijk.
Met het activeren van de macro kon Hickey de juiste admin-rechten krijgen om vervolgens speciale software te downloaden om te checken hoe het staat met de veiligheid van het systeem. Uit tests met deze software bleek dat het mogelijk was om vanaf afstand toegang te krijgen tot de kern van Windows, wat hem de kans gaf om beveiliging uit te schakelen en ransomware te installeren.
Reactie Microsoft
ZDNet heeft Microsoft uiteraard om een reactie gevraagd. Het bedrijf blijft erbij dat Windows 10 S veilig is en dat je er geen (bestaande) ransomware op kunt installeren. “Begin juni hebben we gezegd dat Windows 10 S niet kwetsbaar is voor bekende ransomware, en op basis van de informatie die we van ZDNet hebben gekregen, is dat nog steeds waar”, aldus Microsoft.
Het bedrijf heeft een punt omdat Hickey gebruik heeft gemaakt van een omweg. Het is daarom vooral een definitiekwestie die hier speelt. Eén ding is in ieder geval duidelijk geworden, Windows 10 S is – logischerwijs – niet waterdicht. Microsoft zegt uiteraard continu onderzoek te doen naar eventuele veiligheidsrisico’s.