Die meisten Antivirenprogramme waren anfällig für Angriffe über symbolische Links.

Forscher von RACK911 Labs stellten fest , dass fast alle Antivirenpakete für Windows, Linux und macOS anfällig für Angriffe waren, die Zustandsrennen (race conditions) beim Löschen von Dateien ausnutzten, in denen Malware gefunden wurde.

Für einen Angriff muss eine Datei hochgeladen werden, die das Antivirenprogramm als schädlich erkennt (zum Beispiel kann eine Testsignatur verwendet werden), und nach einer bestimmten Zeit, nachdem die schädliche Datei vom Antivirenprogramm erkannt wurde, aber bevor die Funktion zum Löschen aufgerufen wird, muss das Verzeichnis mit einer symbolischen Verknüpfung ersetzt werden. In Windows wird derselbe Effekt durch das Ersetzen des Verzeichnisses mit einer Junction Point erreicht. Das Problem ist, dass fast alle Antivirenprogramme nicht richtig auf symbolische Verknüpfungen überprüften, und während sie dachten, dass sie die schädliche Datei löschen, löschten sie die Datei im Verzeichnis, auf das die symbolische Verknüpfung zeigt.

In Linux und macOS wurde gezeigt, wie ein nicht privilegierter Benutzer auf diese Weise die /etc/passwd oder eine andere Systemdatei löschen kann, während in Windows die DDL-Bibliothek des Antivirenprogramms selbst für die Blockierung seiner Funktionalität gelöscht werden kann (in Windows ist der Angriff nur auf das Löschen von Dateien beschränkt, die momentan von anderen Anwendungen nicht verwendet werden). Zum Beispiel kann ein Angreifer das Verzeichnis „exploit“ erstellen und die Datei EpSecApiLib.dll mit einer Testsignatur des Virus hochladen, bevor er vor dem Löschen das Verzeichnis „exploit“ durch einen Link ersetzen kann, der auf „C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform“ zeigt, was dazu führt, dass die Bibliothek EpSecApiLib.dll aus dem Verzeichnis des Antivirenprogramms gelöscht wird. In Linux und macOS kann ein ähnliches Vorgehen mit dem Ersetzen des Verzeichnisses durch den Link „/etc“ durchgeführt werden.

#!/bin/sh
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
while inotifywait -m “/home/user/exploit/passwd” | grep -m 5 “OPEN”
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
fertig

Darüber hinaus wurde in vielen Antivirenprogrammen für Linux und macOS festgestellt, dass sie vorhersehbare Dateinamen bei der Arbeit mit temporären Dateien im Verzeichnis /tmp und /private/tmp verwendeten, was zur Erhöhung der Privilegien bis zum Benutzer root genutzt werden konnte.

Bis jetzt wurden die Probleme von den meisten Anbietern behoben, aber bemerkenswert ist, dass die ersten Benachrichtigungen über das Problem den Herstellern bereits im Herbst 2018 zugesandt wurden. Obwohl nicht alle Hersteller Updates veröffentlicht haben, hatten sie mindestens 6 Monate Zeit zur Behebung, und RACK911 Labs ist der Meinung, dass sie nun berechtigt sind, Informationen über die Schwachstellen offenzulegen. Es wird angemerkt, dass RACK911 Labs schon lange an der Identifizierung von Sicherheitsanfälligkeiten arbeitet, aber nicht gedacht hätte, dass die Zusammenarbeit mit Kollegen aus der Antivirenindustrie so schwierig sein würde, da die Veröffentlichung von Updates hinausgezögert und die Notwendigkeit der schnellen Behebung von Sicherheitsproblemen ignoriert wurde.

Produkte, die von dem Problem betroffen sind (das freie Antivirenpaket ClamAV ist nicht in der Liste enthalten):

• Linux
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • Eset File Server Security
  • F-Secure Linux Security
  • Kaspersky Endpoint Security
  • McAfee Endpoint Security
  • Sophos Anti-Virus for Linux
• Windows
  • Avast Free Anti-Virus
  • Avira Free Anti-Virus
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • F-Secure Computer Protection
  • FireEye Endpoint Security
  • Intercept X (Sophos)
  • Kaspersky Endpoint Security
  • Malwarebytes für Windows
  • McAfee Endpoint Security
  • Panda Dome
  • Webroot Secure Anywhere
• macOS
  • DURCHSCHNITT
  • BitDefender Total Security
  • Eset Cyber Security
  • Kaspersky Internet Security
  • McAfee Total Protection
  • Microsoft Defender (BETA)
  • Norton Security
  • Sophos Home
  • Webroot Secure Anywhere

  Quelle: opennet.ru