Повечето антивирусни програми бяха уязвими на атаки чрез символични връзки.

Изследователи от компания RACK911 Labs обърнаха внимание на факта, че почти всички антивирусни пакети за Windows, Linux и macOS бяха уязвими на атаки, манипулиращи състоянието на гонките (race conditions) по време на изтриване на файлове, в които е открито злонамерено ПО.

За извършване на атака е необходимо да се зареди файл, който антивирусът разпознава като злонамерен (например, може да се използва тестова сигнатура), а след определено време, след откритие на злонамерения файл от антивируса, но непосредствено преди извикването на функцията за неговото изтриване, да се подмени каталога с файла със символична връзка. В Windows за постигане на същия ефект се извършва подмяна на каталога чрез точка на свързване (directory junction). Проблемът е, че почти всички антивируси неправилно провериха символичните връзки и, приемащи, че изтриват злонамерен файл, изтриваха файл в каталога, на който сочи символичната връзка.

В Linux и macOS е показано как по този начин непривилегирован потребител може да изтрие /etc/passwd или който и да е друг системен файл, а в Windows DDL-библиотеката на самия антивирус, за да блокира работата му (в Windows атаката е ограничена само до изтриване на файлове, които в момента не се използват от други приложения). Например, атакуващият може да създаде каталог «exploit» и да зареди в него файл EpSecApiLib.dll с тестова сигнатура на вирус, след което преди изтриването да замени каталога «exploit» с връзка «C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform», което ще доведе до изтриването на библиотеката EpSecApiLib.dll от каталога на антивируса. В Linux и macOS аналогичен метод може да се приложи с подмяна на каталога с връзка «/etc».

#!/bin/sh
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
while inotifywait -m “/home/user/exploit/passwd” | grep -m 5 “OPEN”
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
готово

Освен това, в много антивируси за Linux и macOS беше установено използването на предсказуеми имена на файлове при работа с времеви файлове в каталозите /tmp и /private/tmp, което може да се използва за повишаване на привилегии до потребителя root.

Към момента повечето доставчици са отстранили проблемите, но е забележително, че първоначалните уведомления за проблема бяха изпратени на производителите още през есента на 2018 година. Въпреки че не всички производители са пуснали актуализации, те получиха поне 6 месеца за разрешаване на проблема, а RACK911 Labs счита, че сега има право да разкрие информация за уязвимостите. Забелязва се, че компанията RACK911 Labs отдавна се занимава с открития на уязвимости, но не е предполагала, че ще е толкова трудно да работи с колегите от антивирусната индустрия заради забавянето на актуализациите и игнориране на необходимостта от спешно отстраняване на проблемите със сигурността.

Продукти, подложени на проблема (безплатният антивирусен пакет ClamAV не е в списъка):

• Linux
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • Eset File Server Security
  • F-Secure Linux Security
  • Kaspersky Endpoint Security
  • McAfee Endpoint Security
  • Sophos Anti-Virus for Linux
• Windows
  • Avast Free Anti-Virus
  • Avira Free Anti-Virus
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • F-Secure Computer Protection
  • FireEye Endpoint Security
  • Intercept X (Sophos)
  • Kaspersky Endpoint Security
  • Malwarebytes for Windows
  • McAfee Endpoint Security
  • Panda Dome
  • Webroot Secure Anywhere
• macOS
  • AVG
  • BitDefender Total Security
  • Eset Cyber Security
  • Kaspersky Internet Security
  • McAfee Total Protection
  • Microsoft Defender (BETA)
  • Norton Security
  • Sophos Home
  • Webroot Secure Anywhere

  Източник: opennet.ru