Програма за кражба на пароли в Avira Free Antivirus

Какво ще стане, ако ви кажа, че единствената функция на един от компонентите на антивирусния софтуер, който има надежден цифров подпис, е да събира всичките ви идентификационни данни, съхранявани в популярни интернет браузъри? Ами ако кажа, че за него няма значение чии са интересите да ги събира? Сигурно ще си помислите, че се заблуждавам. Да видим как е наистина?

Разбиране

Живее и живее такава антивирусна компания като Avira GmbH & Co. КИЛОГРАМА. Произвежда различни продукти, свързани с информационната сигурност. Има дори безплатни продукти за домашна употреба.

Нека се поинтересуваме от безплатната версия и да видим какво може продуктът на нашите немски колеги. Поглеждаме интерфейса - нищо необичайно. Не намираме споменаване на друг от продуктите на компанията – Avira Password Manager.

Нека да разгледаме компонента с име, което не привлича вниманието "Avira.PWM.NativeMessaging.exe"? Той е компилиран за платформата .NET и не е обфусциран по никакъв начин, така че го зареждаме в dnSpy и свободно изучаваме програмния код.

Програмата е конзолна програма и очаква команди в стандартния входен поток. Основна функция с помощта на "Чети" чете данни от потока, проверява формата и предава командата на функцията "ProcessMessage" Същият от своя страна проверява дали предадената команда е "fetchChromePasswords" или "fetchCredentials" (въпреки че какво значение има дали по-нататъшното поведение е същото?) и тогава започва най-интересната част - извикване на функцията "RetrieveBrowserCredentials" Дори е интересно... какво може да направи функция с това име?

Нищо необичайно, той просто събира в един списък всички потребителски акаунти, запазени при работа с интернет браузъри „Chrome“, „Opera“ (базиран на Chromium), „Firefox“ и „Edge“ (базиран на Chromium) и връща данните като JSON обект.

Е, тогава той показва събраните данни на конзолата:

Същността на проблема

• Компонентът събира потребителски идентификационни данни;
• Компонентът не проверява извикващата програма (например дали има цифров подпис от самия производител);
• Компонентът има „доверен“ цифров подпис и не буди подозрение сред другите производители на антивирусен софтуер;
• Компонентът работи като отделно приложение.

IoC

SHA1: 13c95241e671b98342dba51741fd02621768ecd5.

За този проблем е издаден CVE-2020-12680.

На 07.04.2020 г. изпратих писмо за този проблем до: [имейл защитен] и [имейл защитен] с пълно описание. Нямаше отговорни писма, включително и от автоматични системи. Месец по-късно описаният компонент все още се разпространява в дистрибуцията на Avira Free Antivirus.

Източник: www.habr.com