अवीरा फ्री एंटीवायरस एंटीवायरस सॉफ्टवेयर में पासवर्ड चुराने वाला

क्या होगा यदि मैंने आपसे कहा कि विश्वसनीय डिजिटल हस्ताक्षर वाले एंटीवायरस सॉफ़्टवेयर घटकों में से एक का एकमात्र कार्य लोकप्रिय इंटरनेट ब्राउज़रों में संग्रहीत आपके सभी क्रेडेंशियल एकत्र करना है? क्या होगा अगर मैं कहूं कि उन्हें इससे कोई फर्क नहीं पड़ता कि इन्हें इकट्ठा करने में किसका हित है? आप शायद सोचेंगे कि मैं भ्रमित हूं। आइए देखें कि यह वास्तव में कैसा है?

समझ

ऐसी एंटीवायरस कंपनी रहती है और रहती है अवीरा जीएमबीएच एंड कंपनी किलोग्राम. सूचना सुरक्षा से संबंधित विभिन्न उत्पाद तैयार करता है। घरेलू उपयोग के लिए भी निःशुल्क उत्पाद उपलब्ध हैं।

आइए मुफ़्त संस्करण में रुचि लें और देखें कि हमारे जर्मन सहयोगियों का उत्पाद क्या कर सकता है। हम इंटरफ़ेस पर नज़र डालते हैं - कुछ भी असामान्य नहीं। हमें कंपनी के किसी अन्य उत्पाद - अवीरा पासवर्ड मैनेजर का कोई उल्लेख नहीं मिला।

आइए उस नाम वाले घटक पर एक नज़र डालें जो ध्यान आकर्षित नहीं करता है"Avira.PWM.नेटिवमैसेजिंग.exe"? इसे .NET प्लेटफ़ॉर्म के लिए संकलित किया गया है और यह किसी भी तरह से अस्पष्ट नहीं है, इसलिए हम इसे dnSpy में लोड करते हैं और प्रोग्राम कोड का स्वतंत्र रूप से अध्ययन करते हैं।

प्रोग्राम एक कंसोल प्रोग्राम है और यह मानक इनपुट स्ट्रीम में कमांड की अपेक्षा करता है। मुख्य कार्य का उपयोग "पढ़ना"स्ट्रीम से डेटा पढ़ता है, प्रारूप की जांच करता है और फ़ंक्शन को कमांड भेजता है"प्रोसेसमैसेज" वही, बदले में, जाँचता है कि प्रेषित कमांड "हैफ़ेचक्रोमपासवर्ड"या फिर"क्रेडेंशियल प्राप्त करें" (हालांकि इससे क्या फर्क पड़ता है अगर आगे का व्यवहार भी वैसा ही हो?) और फिर सबसे दिलचस्प हिस्सा शुरू होता है - फ़ंक्शन को कॉल करना "ब्राउज़र क्रेडेंशियल पुनः प्राप्त करें" यह और भी दिलचस्प है... उस नाम का कोई फ़ंक्शन क्या कर सकता है?

कुछ भी असामान्य नहीं है, यह बस इंटरनेट ब्राउज़र "क्रोम", "ओपेरा" (क्रोमियम पर आधारित), "फ़ायरफ़ॉक्स" और "एज" (क्रोमियम पर आधारित) के साथ काम करते समय सहेजे गए सभी उपयोगकर्ता खातों को एक सूची में एकत्र करता है और डेटा को एक के रूप में लौटाता है। JSON ऑब्जेक्ट.

खैर, फिर यह एकत्रित डेटा को कंसोल पर प्रदर्शित करता है:

समस्या का सार

• घटक उपयोगकर्ता क्रेडेंशियल एकत्र करता है;
• घटक कॉलिंग प्रोग्राम को सत्यापित नहीं करता है (उदाहरण के लिए, चाहे उसके पास निर्माता का डिजिटल हस्ताक्षर हो);
• घटक में एक "विश्वसनीय" डिजिटल हस्ताक्षर है और यह अन्य एंटी-वायरस सॉफ़्टवेयर निर्माताओं के बीच संदेह पैदा नहीं करता है;
• घटक एक अलग एप्लिकेशन के रूप में चलता है।

आईओसी

SHA1: 13c95241e671b98342dba51741fd02621768ecd5.

इस अंक के लिए CVE-2020-12680 जारी किया गया था।

07.04.2020/XNUMX/XNUMX को मैंने इस समस्या के बारे में एक पत्र भेजा: [ईमेल संरक्षित] и [ईमेल संरक्षित] पूर्ण विवरण के साथ. स्वचालित प्रणालियों सहित, कोई प्रतिक्रिया पत्र नहीं थे। एक महीने बाद, वर्णित घटक अभी भी अवीरा फ्री एंटीवायरस वितरण में वितरित किया गया है।

स्रोत: www.habr.com