प्रतीकात्मक लिंक के माध्यम से अधिकांश एंटीवायरस पर हमला किया गया है

RACK911 लैब्स के शोधकर्ता ध्यान विंडोज़, लिनक्स और मैकओएस के लिए लगभग सभी एंटीवायरस पैकेज उन फ़ाइलों को हटाने के दौरान दौड़ की स्थिति में हेरफेर करने वाले हमलों के प्रति संवेदनशील थे जिनमें मैलवेयर का पता चला था।

किसी हमले को अंजाम देने के लिए, आपको एक फ़ाइल अपलोड करनी होगी जिसे एंटीवायरस दुर्भावनापूर्ण के रूप में पहचानता है (उदाहरण के लिए, आप परीक्षण हस्ताक्षर का उपयोग कर सकते हैं), और एक निश्चित समय के बाद, एंटीवायरस द्वारा दुर्भावनापूर्ण फ़ाइल का पता लगाने के बाद, लेकिन फ़ंक्शन को कॉल करने से तुरंत पहले इसे हटाने के लिए, निर्देशिका को एक प्रतीकात्मक लिंक वाली फ़ाइल से बदलें। विंडोज़ पर, समान प्रभाव प्राप्त करने के लिए, निर्देशिका जंक्शन का उपयोग करके निर्देशिका प्रतिस्थापन किया जाता है। समस्या यह है कि लगभग सभी एंटीवायरस ने प्रतीकात्मक लिंक की ठीक से जांच नहीं की और यह मानते हुए कि वे एक दुर्भावनापूर्ण फ़ाइल को हटा रहे थे, उस निर्देशिका में फ़ाइल को हटा दिया, जिस पर प्रतीकात्मक लिंक इंगित करता है।

लिनक्स और मैकओएस में यह दिखाया गया है कि कैसे इस तरह से एक अनपेक्षित उपयोगकर्ता /etc/passwd या किसी अन्य सिस्टम फ़ाइल को हटा सकता है, और विंडोज़ में एंटीवायरस की डीडीएल लाइब्रेरी स्वयं उसके काम को अवरुद्ध कर सकती है (विंडोज़ में हमला केवल हटाने तक ही सीमित है) फ़ाइलें जो वर्तमान में अन्य अनुप्रयोगों द्वारा उपयोग नहीं की जाती हैं)। उदाहरण के लिए, एक हमलावर एक "शोषण" निर्देशिका बना सकता है और उसमें परीक्षण वायरस हस्ताक्षर के साथ EpSecApiLib.dll फ़ाइल अपलोड कर सकता है, और फिर "शोषण" निर्देशिका को "C:\Program Files (x86)\McAfee\" लिंक से बदल सकता है। इसे हटाने से पहले एंडपॉइंट सिक्योरिटी\एंडपॉइंट सिक्योरिटी” प्लेटफॉर्म", जिससे एंटीवायरस कैटलॉग से EpSecApiLib.dll लाइब्रेरी को हटा दिया जाएगा। लिनक्स और मैकोज़ में, निर्देशिका को "/etc" लिंक से प्रतिस्थापित करके एक समान चाल की जा सकती है।

# / बिन / श
आरएम -आरएफ /होम/उपयोगकर्ता/शोषण; एमकेडीआईआर /होम/उपयोगकर्ता/शोषण/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
जबकि inotifywait -m “/home/user/exploit/passwd” | ग्रेप -एम 5 "खुला"
do
आरएम -आरएफ /होम/उपयोगकर्ता/शोषण; एलएन -एस /आदि /होम/उपयोगकर्ता/शोषण
किया

इसके अलावा, Linux और macOS के लिए कई एंटीवायरस /tmp और /private/tmp निर्देशिका में अस्थायी फ़ाइलों के साथ काम करते समय पूर्वानुमानित फ़ाइल नामों का उपयोग करते पाए गए, जिनका उपयोग रूट उपयोगकर्ता के लिए विशेषाधिकार बढ़ाने के लिए किया जा सकता है।

अब तक, अधिकांश आपूर्तिकर्ताओं द्वारा समस्याओं को पहले ही ठीक कर लिया गया है, लेकिन यह उल्लेखनीय है कि समस्या के बारे में पहली सूचनाएं 2018 के अंत में निर्माताओं को भेजी गई थीं। हालाँकि सभी विक्रेताओं ने अपडेट जारी नहीं किए हैं, उन्हें पैच करने के लिए कम से कम 6 महीने का समय दिया गया है, और RACK911 लैब्स का मानना ​​है कि अब वह कमजोरियों का खुलासा करने के लिए स्वतंत्र है। यह ध्यान दिया जाता है कि RACK911 लैब्स लंबे समय से कमजोरियों की पहचान करने पर काम कर रही है, लेकिन उसने यह उम्मीद नहीं की थी कि अपडेट जारी करने में देरी और सुरक्षा को तत्काल ठीक करने की आवश्यकता की अनदेखी के कारण एंटीवायरस उद्योग के सहयोगियों के साथ काम करना इतना मुश्किल हो जाएगा। समस्या।

प्रभावित उत्पाद (मुफ़्त एंटीवायरस पैकेज ClamAV सूचीबद्ध नहीं है):

• Linux
  • बिटडिफेंडर ग्रेविटीजोन
  • कोमोडो समापन बिंदु सुरक्षा
  • Eset फ़ाइल सर्वर सुरक्षा
  • F- सिक्योर लिनक्स सिक्योरिटी
  • Kaspersy समापन बिंदु सुरक्षा
  • McAfee समापन बिंदु सुरक्षा
  • लिनक्स के लिए सोफोस एंटी-वायरस
• Windows
  • अवास्ट मुफ्त विषाणु विरोधी
  • अविरा मुफ्त एंटीवायरस
  • बिटडिफेंडर ग्रेविटीजोन
  • कोमोडो समापन बिंदु सुरक्षा
  • F- सुरक्षित कंप्यूटर सुरक्षा
  • FireEye समापन बिंदु सुरक्षा
  • अवरोधक X (सोफोस)
  • Kaspersky समापन बिंदु सुरक्षा
  • विंडोज के लिए मैलवेयरवेयर
  • McAfee समापन बिंदु सुरक्षा
  • पांडा डोम
  • वेबरॉट सिक्योर एनीवेयर
• macOS
  • एवीजी
  • बिटडिफेंडर कुल सुरक्षा
  • एसेट साइबर सिक्योरिटी
  • इंटरनेट सुरक्षा
  • McAfee कुल संरक्षण
  • Microsoft के डिफेंडर (बीटा)
  • नॉर्टन सुरक्षा
  • सोफस होम
  • वेबरॉट सिक्योर एनीवेयर

  स्रोत: opennet.ru