Enamiku viirusetõrjete ründamine läbi sümboolsete linkide

RACK911 Labs'i uurijad pöörasid tähelepanu kelle tähelepanekuks oli, et peaaegu kõik Windowsi, Linuxi ja macOS'i viirusetõrje paketid olid haavatavad rünnakute suhtes, mis manipuleerivad võistluslikke tingimusi (race conditions) failide kustutamise ajal, milles tuvastatakse pahavara.

Rünnaku teostamiseks tuleb laadida fail, mida viirusetõrje tuvastab pahavarana (näiteks võib kasutada testimistigmasid), ja teatud aja pärast, pärast pahafaili tuvastamist viirusetõrje poolt, kuid vahetult enne kustutamisfunktsiooni kutsumist, asendada kaust sümboolse lingiga. Windowsis saavutatakse sama efekti, asendades kaust ühenduspunktiga (directory junction). Probleem on selles, et peaaegu kõik viirusetõrjed ei kontrollinud korralikult sümboolseid linke ning arvasid, et kustutavad pahafaili, kustutades faili kaustas, millele sümboolne link osutab.

Linuxis ja macOS-is on näidatud, kuidas sellisel viisil privileege mitteomav kasutaja võib kustutada /etc/passwd või mõne muu süsteemifaili, ja Windowsis DDL-raamatukogu viirusetõrje enda töö takistamiseks (Windowsis on rünnak piiritletud ainult failide kustutamisega, mida hetkel ei kasutata teiste rakenduste poolt). Näiteks võib ründaja luua kausta „exploit“ ja laadida sellesse faili EpSecApiLib.dll koos testimistigmasignaali, pärast mida vahetatakse enne kustutamist kaust „exploit“ lingiga „C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform“, mis põhjustab EpSecApiLib.dll raamatukogu kustutamise viirusetõrje kaustast. Linuxis ja macOS-is saab sarnast meetodit kasutada kaustade lingiks vahetamisel „/etc“.

#!/bin/sh
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
while inotifywait -m “/home/user/exploit/passwd” | grep -m 5 “OPEN”
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
done

Veelgi, paljudes viirusetõrjedes Linuxi ja macOS-i jaoks on avastatud etteaimatavate failide nimede kasutamine ajutiste failide töötlemisel kaustas /tmp ja /private/tmp, mida võiks kasutada privileegide tõstmiseks root kasutajaks.

Käesolevaks ajaks on enamik tarnijatest probleemid lahendanud, kuid tähelepanuväärne on, et esimesed teated probleemist saadeti tootjatele juba 2018. aasta sügisel. Kuigi mitte kõik tootjad ei ole välja andnud uuendusi, oli neil aega parandamiseks vähemalt 6 kuud, ja RACK911 Labs leiab, et nüüd on neil õigus teavet haavatavuste kohta avalikustada. RACK911 Labs on pikka aega tegelenud haavatavuste tuvastamisega, kuid nad ei mõelnud, et antiviirusindustri kolleegidega töötamine osutub nii raskeks uuenduste viibimise ja turvaprobleemide kiire lahendamise vajaduse ignoreerimise tõttu.

Probleemile allunud tooted (tasuta antiviiruspakett ClamAV pole loendis):

• Linux
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • Eset File Server Security
  • F-Secure Linux Security
  • Kaspersy Endpoint Security
  • McAfee Endpoint Security
  • Sophos Anti-Virus for Linux
• Windows
  • Avast Free Anti-Virus
  • Avira Free Anti-Virus
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • F-Secure Computer Protection
  • FireEye Endpoint Security
  • Intercept X (Sophos)
  • Kaspersky Endpoint Security
  • Malwarebytes for Windows
  • McAfee Endpoint Security
  • Panda Dome
  • Webroot Secure Anywhere
• macOS
  • AVG
  • BitDefender Total Security
  • Eset Cyber Security
  • Kaspersky Internet Security
  • McAfee Total Protection
  • Microsoft Defender (BETA)
  • Norton Security
  • Sophos Home
  • Webroot Secure Anywhere

  Allikas: opennet.ru