{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"La mayor\u00eda de los antivirus resultaron ser vulnerables a ataques a trav\u00e9s de enlaces simb\u00f3licos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Investigadores de RACK911 Labs notaron<\/a><\/noindex> que casi todos los paquetes antivirus para Windows, Linux y macOS eran vulnerables a ataques que manipulan condiciones de carrera durante la eliminaci\u00f3n de archivos identificados como maliciosos.<\/p>\n

Para llevar a cabo un ataque es necesario cargar un archivo que el antivirus reconozca como malicioso (por ejemplo, se puede usar una firma de prueba), y despu\u00e9s de un tiempo, tras la detecci\u00f3n del archivo malicioso por parte del antivirus, pero justo antes de que se llame a la funci\u00f3n para su eliminaci\u00f3n, reemplazar el directorio con un enlace simb\u00f3lico. En Windows, para lograr el mismo efecto, se utiliza un punto de uni\u00f3n (directory junction) para sustituir el directorio. El problema es que casi todos los antivirus no verificaban adecuadamente los enlaces simb\u00f3licos y, creyendo que eliminaban un archivo malicioso, eliminaban el archivo en el directorio al que apunta el enlace simb\u00f3lico. <\/p>\n

En Linux y macOS se muestra c\u00f3mo un usuario no privilegiado puede eliminar \/etc\/passwd o cualquier otro archivo del sistema, y en Windows la biblioteca DLL del propio antivirus para bloquear su funcionamiento (en Windows, el ataque est\u00e1 limitado solo a la eliminaci\u00f3n de archivos que en ese momento no son utilizados por otras aplicaciones). Por ejemplo, un atacante puede crear un directorio llamado \"exploit\" y cargar en \u00e9l el archivo EpSecApiLib.dll con una firma de virus de prueba, y luego, antes de eliminar, sustituir el directorio \"exploit\" por un enlace a \"C:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform\", lo que llevar\u00e1 a la eliminaci\u00f3n de la biblioteca EpSecApiLib.dll del directorio del antivirus. En Linux y macOS, se puede realizar un procedimiento similar sustituyendo el directorio por un enlace a \"\/etc\".<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\\\/home\\\/user\\\/exploit\\\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n done<\/p>\n


\n
\r\n \"Reproducir\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Adem\u00e1s, se ha encontrado que muchos antivirus para Linux y macOS utilizan nombres de archivos predecibles al trabajar con archivos temporales en el directorio \/tmp y \/private\/tmp, lo que podr\u00eda utilizarse para elevar privilegios hasta el usuario root. <\/p>\n

A la fecha, la mayor\u00eda de los proveedores han solucionado los problemas, pero es notable que las primeras notificaciones sobre el problema se enviaron a los fabricantes ya en oto\u00f1o de 2018. A pesar de que no todos los fabricantes lanzaron actualizaciones, se les dio al menos 6 meses para corregirlo y RACK911 Labs considera que ahora tiene el derecho de revelar informaci\u00f3n sobre las vulnerabilidades. Se se\u00f1ala que RACK911 Labs ha estado trabajando durante mucho tiempo en la identificaci\u00f3n de vulnerabilidades, pero no esperaba que trabajar con colegas de la industria antivirus fuese tan dif\u00edcil debido a los retrasos en el lanzamiento de actualizaciones y la ignorancia de la necesidad de corregir urgentemente los problemas de seguridad.<\/p>\n

Productos afectados por el problema (el paquete antivirus gratuito ClamAV no est\u00e1 en la lista):<\/p>\n