Повечето антивирусни програми се оказаха уязвими на атаки чрез символични линкове

Изследователите от компания RACK911 Labs обърнаха внимание на факта, че почти всички антивирусни пакети за Windows, Linux и macOS са били уязвими на атаки, манипулиращи състоянието на гонки (race conditions) при изтриване на файлове, в които е открит зловреден софтуер.

За извършване на атаката е необходимо да се качи файл, който антивирусът разпознава като зловреден (например, може да се използва тестова сигнатура), а след определено време, след откриването на зловредния файл от антивируса, но непосредствено преди извикването на функцията за неговото изтриване, да се подмени директорията с файла със символичен линк. В Windows за да се постигне същият ефект, директорията се подменя чрез точка на свързване (directory junction). Проблемът е, че почти всички антивируси не извършват правилна проверка на символичните линкове и, смятайки, че изтриват зловреден файл, изтриват файла в директорията, на която сочи символичния линк.

В Linux и macOS е показано как по този начин непривилегирован потребител може да изтрие /etc/passwd или който и да е друг системен файл, а в Windows DDL-библиотека на самия антивирус, за да блокира работата му (в Windows атаката е ограничена само до изтриване на файлове, които в момента не се използват от други приложения). Например, нападателят може да създаде директория «exploit» и да качи в нея файла EpSecApiLib.dll с тестова вирусна сигнатура, след което преди изтриването да замени директорията «exploit» със символичен линк «C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform», което ще доведе до изтриване на библиотеката EpSecApiLib.dll от директорията на антивируса. В Linux и macOS аналогичен трик може да се приложи с подмяна на директорията с линк «/etc».

#!/bin/sh
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
while inotifywait -m "/home/user/exploit/passwd" | grep -m 5 "OPEN"
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
готово

Освен това, в много антивируси за Linux и macOS е установено използването на предсказуеми имена на файлове при работа с временни файлове в директорията /tmp и /private/tmp, което може да е използвано за повишаване на правомощията до потребител root.

До момента много от проблемите вече бяха разрешени от повечето доставчици, но е забележително, че първите уведомления за проблема бяха изпратени на производителите още през есента на 2018 г. Въпреки че не всички производители пуснаха актуализации, им беше предоставен минимум 6 месеца за корекции, а RACK911 Labs смята, че вече има право да разкрие информация за уязвимостите. Забелязва се, че компанията RACK911 Labs дълго време работи по идентифицирането на уязвимости, но не е предполагала, че ще бъде толкова трудно да работи с колегите от антивирусната индустрия поради забавянето на пускането на актуализации и игнорирането на необходимостта от спешно решаване на проблемите с безопасността.

Продукти, засегнати от проблема (безплатният антивирусен пакет ClamAV не е в списъка):

• Linux
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • Eset File Server Security
  • F-Secure Linux Security
  • Kaspersy Endpoint Security
  • McAfee Endpoint Security
  • Sophos Anti-Virus for Linux
• Windows
  • Avast Free Anti-Virus
  • Avira Free Anti-Virus
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • F-Secure Computer Protection
  • FireEye Endpoint Security
  • Intercept X (Sophos)
  • Kaspersky Endpoint Security
  • Malwarebytes for Windows
  • McAfee Endpoint Security
  • Panda Dome
  • Webroot Secure Anywhere
• macOS
  • СРЕДНО
  • BitDefender Total Security
  • Eset Cyber Security
  • Kaspersky Internet Security
  • McAfee Total Protection
  • Microsoft Defender (BETA)
  • Norton Security
  • Sophos Home
  • Webroot Secure Anywhere

  Източник: opennet.ru