{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"Die meisten Antiviren-Programme waren anf\u00e4llig f\u00fcr Angriffe \u00fcber symbolische Links","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forscher von RACK911 Labs achten darauf<\/a><\/noindex> dass fast alle Antivirus-Pakete f\u00fcr Windows, Linux und macOS anf\u00e4llig f\u00fcr Angriffe sind, die mit Race Conditions w\u00e4hrend der Dateil\u00f6schung arbeiten, wenn Malware erkannt wird.<\/p>\n

F\u00fcr einen Angriff ist es erforderlich, eine Datei herunterzuladen, die vom Antivirus als b\u00f6sartig erkannt wird (z. B. kann ein Test-Signatur verwendet werden), und nach einer bestimmten Zeit, nachdem der b\u00f6sartige Inhalt erkannt wurde, aber direkt bevor die Funktion zum L\u00f6schen der Datei aufgerufen wird, das Verzeichnis durch einen symbolischen Link zu ersetzen. In Windows erfolgt die Verzeichnisumleitung zur Erreichung desselben Effekts durch die Verwendung einer Verzeichnisschneidstelle (directory junction). Das Problem ist, dass nahezu alle Antivirus-Programme die symbolischen Links nicht ordnungsgem\u00e4\u00df \u00fcberpr\u00fcften und im Glauben, die b\u00f6sartige Datei zu l\u00f6schen, die Datei im Verzeichnis entfernten, auf das der symbolische Link zeigt. <\/p>\n

In Linux und macOS wird gezeigt, wie ein nicht privilegierter Benutzer auf diese Weise die Datei \/etc\/passwd oder jede andere Systemdatei l\u00f6schen kann, w\u00e4hrend in Windows die DDL-Bibliothek des Antivirenprogramms selbst entfernt wird, um dessen Funktionalit\u00e4t zu blockieren (in Windows ist der Angriff auf das L\u00f6schen von Dateien beschr\u00e4nkt, die im aktuellen Moment von anderen Anwendungen nicht verwendet werden). Zum Beispiel kann der Angreifer ein Verzeichnis namens \u201eexploit\u201c erstellen und die Datei EpSecApiLib.dll mit einer Testvirus-Signatur darin hochladen, bevor er das Verzeichnis \u201eexploit\u201c durch einen Link zu \u201eC:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform\u201c ersetzt, was zur L\u00f6schung der Bibliothek EpSecApiLib.dll aus dem Antivirenverzeichnis f\u00fchrt. In Linux und macOS kann ein \u00e4hnlicher Trick durch Ersetzen des Verzeichnisses durch einen Link zu \u201e\/etc\u201c durchgef\u00fchrt werden.<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\/home\/user\/exploit\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n fertig<\/p>\n


\n
\r\n \"Video\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Dar\u00fcber hinaus wurde in vielen Antivirus-Programmen f\u00fcr Linux und macOS die Verwendung von vorhersagbaren Dateinamen bei der Arbeit mit tempor\u00e4ren Dateien im Verzeichnis \/tmp und \/private\/tmp festgestellt, was zur Erh\u00f6hung der Berechtigungen auf den Benutzer root verwendet werden k\u00f6nnte. <\/p>\n

Bis zu diesem Zeitpunkt haben die meisten Anbieter die Probleme bereits behoben, bemerkenswert ist jedoch, dass die ersten Benachrichtigungen \u00fcber das Problem bereits im Herbst 2018 an die Hersteller gesendet wurden. Obwohl nicht alle Hersteller aktualisierte Versionen herausgebracht haben, erhielten sie mindestens 6 Monate Zeit zur Behebung, und RACK911 Labs ist der Meinung, dass es jetzt das Recht hat, Informationen \u00fcber Schwachstellen offenzulegen. Es wird darauf hingewiesen, dass das Unternehmen RACK911 Labs bereits seit langem an der Identifizierung von Schwachstellen arbeitet, aber nicht damit gerechnet hat, dass die Zusammenarbeit mit Kollegen aus der Antivirenindustrie aufgrund von Verz\u00f6gerungen bei der Ver\u00f6ffentlichung von Updates und der Ignorierung der Notwendigkeit einer sofortigen Behebung von Sicherheitsproblemen so schwierig sein w\u00fcrde.<\/p>\n

Produkte, die von dem Problem betroffen sind (das kostenlose Antivirenpaket ClamAV ist nicht aufgef\u00fchrt):<\/p>\n