微軟被爆Visual Studio 2015 的 C++ 編譯器會自動植入遙測木馬

資訊安全在現代越來越受到重視，其中，防止駭客植入木馬程式，向來是最關鍵的工作方向。然而，如果任何程式被生產出來的當下，就被自動植入木馬呢？

如今微軟的開發工具，被爆出這個重大爭議──Reddit 網站上 Sammiesdog 網友發現，Visual Studio 2015 的 C++ 編譯器會在編出來的程式裡偷偷植入木馬──他編譯自己寫的程式時，發現編出來的結果竟然無端多了遠端遙測（telemetry）的呼叫，而且這呼叫，還是在微軟官方文件上沒有記錄的。

▲Sammiesdog 上傳的螢幕擷圖。

這個截圖經過證實，在 Windows 7 或者 Windows 10 上，只要你使用 Visual Studio 2015 Update 2，就可以使用這段程式碼，來重製這個狀況：

#include “stdafx.h"

#include <iostream>

int main()

{

return 0;

}

這樣的程式碼，有學過 C++ 語言的人就知道只是一個程式的空框架，只差沒有印出「Hello World」，但是編譯完以後，使用 debug 功能來檢視，赫然會發現被插入了 telemetry_main_invoke_trigger 呼叫。

目前微軟公司 Visual C++ 開發團隊的研發經理 Steve Carroll 已經出面回應，確有此事，而且將會在 Visual Studio 2015 的 Update 3 移除此功能。他解釋這個功能的作用是：

「這段程式碼所做的，是當系統 ETW（Windows 事件追蹤機制）有開啟的時候，觸發一個 ETW 事件，發出時間戳以及模組讀取的狀況。只有當客戶的作業系統有設定要主動跟我們尋求協助，且願意提供 PDB 資訊給我們時，才會啟動功能，我們並沒有要監控所有的客戶，反而目前還是用傳統方法來調查與解決問題。」然而 ETW 已經被爆過有回傳客戶隱私資料的疑慮。

想避開這個「木馬」問題的話，目前使用 Visual Studio 2015 Update 2 的開發者，需要在編譯的設定上，把「notelemetry.obj」檔案加入連結器的命令列（已經被 Carroll 確認有效）。

目前微軟官方發言人也已經確認此事，表示新版本將解決這問題，不過目前還沒有訂出時間表，所以使用微軟開發工具的開發者就得多留意了。