Ai tempi di Windows 2000, Microsoft inserì nel proprio sistema operativo una caratteristica che, sulla carta, avrebbe dovuto migliorarne la sicurezza.

Si trattava della chiamata di sistema PsSetLoadImageNotifyRoutine, il cui compito è controllare l'eventuale caricamento di codice pericoloso nella memoria.

Tale routine è passata a ogni discendente di Windows 2000 rilasciato fino a oggi, tanto che è tuttora presente in Windows 10 ed è usata dai vari software antivirus per aiutarsi nell'identificazione dei malware.

Il guaio è che ora Omri Misgav, esperto di sicurezza che lavora per enSilo, si è accorto che chi a suo tempo programmò quella funzione non ha fatto esattamente un buon lavoro.

«Il guaio è che, dopo aver registrato una routine di notifica per le immagini PE nel kernel, il callback può ricevere dei nomi di immagine non validi» spiega Misgav.

In sostanza, un malware può sfruttare il bug nell'API di PsSetLoadImageNotifyRoutine per convincere il sistema a verificare la pericolosità di un file assolutamente innocuo anziché quella del malware stesso: così la verifica della pericolosità viene fatta su un file sicuro, e il malware che può compiere indisturbato il proprio, malefico lavoro.

«Questo bug ha delle ripercussioni sui produttori di software di sicurezza che si affidano alla documentazione di Microsoft quando usano l'API per controllare i file caricati in memoria» aggiunge Udi Yavo, fondatore di enSilo. «Dato che il bug non è documentato e non esiste alcun modo ufficiale per aggirarlo, i produttori di software di sicurezza rischiano di non identificare del malware».

Microsoft, interrogata in proposito da enSilo, ha fatto sapere di non avere intenzione di correggere il problema, poiché ritene che esso «non costituisca una minaccia per la sicurezza».