黑客发现漏洞可窃取 Windows 365 云电脑用户名/密码

IT之家 8 月 14 日消息 上个月，微软宣布了 Windows 365，这是一项面向商业客户的云电脑服务。8 月份，微软宣布了该服务的普遍可用性。Windows 365 将使企业能够安全地将完整的 Windows 10/Windows 11 体验--包括其所有的应用程序、数据和设置--流向个人或企业设备。

外媒 BleepingComputer 报道，微软此前表示 Windows 365 云电脑解决方案，比直接在你的 PC 设备上运行软件要安全得多，但现在黑客已经找到了利用远程访问软件窃取你的用户名和密码凭据的方法。

安全研究员 Benjamin Delphy 通过使用一系列工具实现了这一壮举。他使用 Mimikatz 工具，该工具可以从内存中读取密码，以及他发现的一个 Windows Terminal 的漏洞，该漏洞可允许他人解密密码，从而提供用户用于登录 Windows 365 的用户名和密码。

然后这些凭证可以用来访问网络上的其他资源，并在计算机之间传播，并且很可能在这个过程中安装勒索软件。

IT之家获悉，Delphy 指出，Windows Hello、智能卡和其他 2FA 可能有助于防止这次攻击，但 Windows 365 依赖于用户名和密码，所以并不容易起到保护。

下面是视频演示：