{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"Die meisten Antivirenprogramme waren anf\u00e4llig f\u00fcr Angriffe \u00fcber symbolische Links.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forscher von RACK911 Labs stellten fest<\/a><\/noindex> , dass fast alle Antivirenpakete f\u00fcr Windows, Linux und macOS anf\u00e4llig f\u00fcr Angriffe waren, die Zustandsrennen (race conditions) beim L\u00f6schen von Dateien ausnutzten, in denen Malware gefunden wurde.<\/p>\n

F\u00fcr einen Angriff muss eine Datei hochgeladen werden, die das Antivirenprogramm als sch\u00e4dlich erkennt (zum Beispiel kann eine Testsignatur verwendet werden), und nach einer bestimmten Zeit, nachdem die sch\u00e4dliche Datei vom Antivirenprogramm erkannt wurde, aber bevor die Funktion zum L\u00f6schen aufgerufen wird, muss das Verzeichnis mit einer symbolischen Verkn\u00fcpfung ersetzt werden. In Windows wird derselbe Effekt durch das Ersetzen des Verzeichnisses mit einer Junction Point erreicht. Das Problem ist, dass fast alle Antivirenprogramme nicht richtig auf symbolische Verkn\u00fcpfungen \u00fcberpr\u00fcften, und w\u00e4hrend sie dachten, dass sie die sch\u00e4dliche Datei l\u00f6schen, l\u00f6schten sie die Datei im Verzeichnis, auf das die symbolische Verkn\u00fcpfung zeigt. <\/p>\n

In Linux und macOS wird gezeigt, wie ein privilegierter Benutzer auf diese Weise die Datei \/etc\/passwd oder eine andere Systemdatei l\u00f6schen kann, w\u00e4hrend in Windows die DLL-Bibliothek des Antivirenprogramms selbst blockiert wird (in Windows ist der Angriff auf das L\u00f6schen von Dateien beschr\u00e4nkt, die zurzeit nicht von anderen Anwendungen verwendet werden). Beispielsweise kann der Angreifer ein Verzeichnis \u201eexploit\u201c erstellen und eine Datei EpSecApiLib.dll mit einer Testvirus-Signatur hochladen, bevor er das Verzeichnis \u201eexploit\u201c vor dem L\u00f6schen durch einen Link \u201eC:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform\u201c ersetzt, was zur L\u00f6schung der Bibliothek EpSecApiLib.dll aus dem Antivirenverzeichnis f\u00fchrt. Ein \u00e4hnliches Verfahren kann in Linux und macOS durch den Austausch des Verzeichnisses gegen einen Link \u201e\/etc\u201c durchgef\u00fchrt werden.<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\/home\/user\/exploit\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n fertig<\/p>\n


\n
\r\n \"Video\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Dar\u00fcber hinaus wurde in vielen Antivirenprogrammen f\u00fcr Linux und macOS festgestellt, dass sie vorhersehbare Dateinamen bei der Arbeit mit tempor\u00e4ren Dateien im Verzeichnis \/tmp und \/private\/tmp verwendeten, was zur Erh\u00f6hung der Privilegien bis zum Benutzer root genutzt werden konnte. <\/p>\n

Bis jetzt wurden die Probleme von den meisten Anbietern behoben, aber bemerkenswert ist, dass die ersten Benachrichtigungen \u00fcber das Problem den Herstellern bereits im Herbst 2018 zugesandt wurden. Obwohl nicht alle Hersteller Updates ver\u00f6ffentlicht haben, hatten sie mindestens 6 Monate Zeit zur Behebung, und RACK911 Labs ist der Meinung, dass sie nun berechtigt sind, Informationen \u00fcber die Schwachstellen offenzulegen. Es wird angemerkt, dass RACK911 Labs schon lange an der Identifizierung von Sicherheitsanf\u00e4lligkeiten arbeitet, aber nicht gedacht h\u00e4tte, dass die Zusammenarbeit mit Kollegen aus der Antivirenindustrie so schwierig sein w\u00fcrde, da die Ver\u00f6ffentlichung von Updates hinausgez\u00f6gert und die Notwendigkeit der schnellen Behebung von Sicherheitsproblemen ignoriert wurde.<\/p>\n

Produkte, die von dem Problem betroffen sind (das freie Antivirenpaket ClamAV ist nicht in der Liste enthalten):<\/p>\n