Die meisten Antiviren-Programme waren anfällig für Angriffe über symbolische Links

Forscher von RACK911 Labs achten darauf dass fast alle Antivirus-Pakete für Windows, Linux und macOS anfällig für Angriffe sind, die mit Race Conditions während der Dateilöschung arbeiten, wenn Malware erkannt wird.

Für einen Angriff ist es erforderlich, eine Datei herunterzuladen, die vom Antivirus als bösartig erkannt wird (z. B. kann ein Test-Signatur verwendet werden), und nach einer bestimmten Zeit, nachdem der bösartige Inhalt erkannt wurde, aber direkt bevor die Funktion zum Löschen der Datei aufgerufen wird, das Verzeichnis durch einen symbolischen Link zu ersetzen. In Windows erfolgt die Verzeichnisumleitung zur Erreichung desselben Effekts durch die Verwendung einer Verzeichnisschneidstelle (directory junction). Das Problem ist, dass nahezu alle Antivirus-Programme die symbolischen Links nicht ordnungsgemäß überprüften und im Glauben, die bösartige Datei zu löschen, die Datei im Verzeichnis entfernten, auf das der symbolische Link zeigt.

In Linux und macOS wurde gezeigt, wie ein nicht privilegierter Benutzer auf diese Weise /etc/passwd oder jede andere Systemdatei löschen kann, während in Windows eine DLL-Bibliothek des Antivirus selbst gelöscht wird, um dessen Funktionalität zu blockieren (in Windows ist der Angriff auf das Löschen von Dateien beschränkt, die im aktuellen Moment nicht von anderen Anwendungen genutzt werden). Beispielsweise kann der Angreifer ein Verzeichnis „exploit“ erstellen und die Datei EpSecApiLib.dll mit einer Test-Signatur des Virus hineinhängen, wonach vor der Löschung das Verzeichnis „exploit“ durch einen Link „C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform“ ersetzt wird, was zur Löschung der Bibliothek EpSecApiLib.dll aus dem Antivirus-Verzeichnis führen wird. In Linux und macOS kann das gleiche Verfahren mit dem Ersetzen des Verzeichnisses durch einen Link „/etc“ durchgeführt werden.

#!/bin/sh
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
while inotifywait -m “/home/user/exploit/passwd” | grep -m 5 “OPEN”
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
fertig

Darüber hinaus wurde in vielen Antivirus-Programmen für Linux und macOS die Verwendung von vorhersagbaren Dateinamen bei der Arbeit mit temporären Dateien im Verzeichnis /tmp und /private/tmp festgestellt, was zur Erhöhung der Berechtigungen auf den Benutzer root verwendet werden könnte.

Bis zu diesem Zeitpunkt haben die meisten Anbieter die Probleme bereits behoben, bemerkenswert ist jedoch, dass die ersten Benachrichtigungen über das Problem bereits im Herbst 2018 an die Hersteller gesendet wurden. Obwohl nicht alle Hersteller aktualisierte Versionen herausgebracht haben, erhielten sie mindestens 6 Monate Zeit zur Behebung, und RACK911 Labs ist der Meinung, dass es jetzt das Recht hat, Informationen über Schwachstellen offenzulegen. Es wird darauf hingewiesen, dass das Unternehmen RACK911 Labs bereits seit langem an der Identifizierung von Schwachstellen arbeitet, aber nicht damit gerechnet hat, dass die Zusammenarbeit mit Kollegen aus der Antivirenindustrie aufgrund von Verzögerungen bei der Veröffentlichung von Updates und der Ignorierung der Notwendigkeit einer sofortigen Behebung von Sicherheitsproblemen so schwierig sein würde.

Produkte, die von dem Problem betroffen sind (das kostenlose Antivirenpaket ClamAV ist nicht aufgeführt):

• Linux
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • Eset File Server Security
  • F-Secure Linux Security
  • Kaspersky Endpoint Security
  • McAfee Endpoint Security
  • Sophos Anti-Virus für Linux
• Windows
  • Avast Free Anti-Virus
  • Avira Free Anti-Virus
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • F-Secure Computerschutz
  • FireEye Endpoint Security
  • Intercept X (Sophos)
  • Kaspersky Endpoint Security
  • Malwarebytes für Windows
  • McAfee Endpoint Security
  • Panda Dome
  • Webroot Secure Anywhere
• macOS
  • AVG
  • BitDefender Total Security
  • Eset Cyber Security
  • Kaspersky Internet Security
  • McAfee Total Protection
  • Microsoft Defender (BETA)
  • Norton Security
  • Sophos Home
  • Webroot Secure Anywhere

  Quelle: opennet.ru