De fleste antivirusprogrammer er blevet ramt af angreb gennem symbolske links

Forskere fra RACK911 Labs har bemærket at næsten alle antivirusprogrammer til Windows, Linux og macOS var sårbare over for angreb, der manipulerer med race conditions under sletning af filer, hvor malware er fundet.

For at udføre et angreb kræves det, at man uploader en fil, som antivirusprogrammet genkender som skadelig (for eksempel kan man bruge en testsignatur), og efter en bestemt tid, efter at malware-filen er blevet identificeret af antivirus, men lige før funktionen til dens sletning kaldes, erstattes kataloget med filen med et symbolsk link. I Windows opnås samme effekt ved at erstatte kataloget med en directory junction. Problemet er, at næsten alle antivirusprogrammer ikke korrekt kontrollerede symbolske links og, da de troede, at de sletter en skadelig fil, i stedet slettede filen i det katalog, som det symbolske link peger på.

I Linux og macOS er det vist, hvordan en ikke-privilegeret bruger kan slette /etc/passwd eller enhver anden systemfil, og i Windows DLL-biblioteket for selve antivirusprogrammet for at blokere dets funktion (i Windows er angrebet begrænset til at slette filer, som i øjeblikket ikke bruges af andre applikationer). For eksempel kan en angriber oprette et katalog "exploit" og uploade en fil EpSecApiLib.dll med en testvirus signatur, hvorefter kataloget "exploit" før sletningen kan erstattes med et link "C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform", hvilket vil føre til sletning af biblioteket EpSecApiLib.dll fra antiviruspakken. I Linux og macOS kan en tilsvarende tilgang bruges ved at erstatte kataloget med linket "/etc".

#!/bin/sh
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
while inotifywait -m "/home/user/exploit/passwd" | grep -m 5 "OPEN"
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
done

Desuden er der i mange antivirusprogrammer til Linux og macOS blevet opdaget brugen af forudsigelige filnavne ved håndtering af midlertidige filer i kataloget /tmp og /private/tmp, hvilket kunne anvendes til at hæve privilegierne til root-bruger.

På nuværende tidspunkt er problemerne blevet løst af de fleste udbydere, men det bemærkes, at de første meddelelser om problemet blev sendt til producenterne allerede i efteråret 2018. Selvom ikke alle producenter har udgivet opdateringer, fik de mindst 6 måneder til at rette fejlene, og RACK911 Labs mener, at de nu har ret til at offentliggøre oplysninger om sårbarhederne. Det bemærkes, at RACK911 Labs har arbejdet med at identificere sårbarheder i lang tid, men de havde ikke forventet, at det ville være så svært at arbejde sammen med kolleger i antivirusindustrien på grund af forsinkelsen i udgivelsen af opdateringer og ignorering af nødvendigheden af hurtig løsning af sikkerhedsproblemer.

Produkter, der er berørt af problemet (den gratis antiviruspakke ClamAV er ikke på listen):

• Linux
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • Eset File Server Security
  • F-Secure Linux Security
  • Kaspersy Endpoint Security
  • McAfee Endpoint Security
  • Sophos Anti-Virus for Linux
• Windows
  • Avast Free Anti-Virus
  • Avira Free Anti-Virus
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • F-Secure Computer Protection
  • FireEye Endpoint Security
  • Intercept X (Sophos)
  • Kaspersky Endpoint Security
  • Malwarebytes for Windows
  • McAfee Endpoint Security
  • Panda Dome
  • Webroot Secure Anywhere
• macOS
  • GNSNIT
  • BitDefender Total Security
  • Eset Cyber Security
  • Kaspersky Internet Security
  • McAfee Total Protection
  • Microsoft Defender (BETA)
  • Norton Security
  • Sophos Home
  • Webroot Secure Anywhere

  Kilde: opennet.ru