I ricercatori della RACK911 Labs che quasi tutti i pacchetti antivirus per Windows, Linux e macOS erano vulnerabili ad attacchi che sfruttano condizioni di gara (race conditions) durante l'eliminazione di file in cui è stato rilevato malware.
Per eseguire un attacco, è necessario caricare un file che l'antivirus riconosca come dannoso (ad esempio, è possibile utilizzare una firma di test), e dopo un certo periodo, dopo che l'antivirus ha rilevato il file dannoso, ma proprio prima di chiamare la funzione per eliminarlo, sostituire la cartella con un collegamento simbolico. Su Windows, per ottenere lo stesso effetto, viene utilizzata una sostituzione della cartella tramite una junction directory. Il problema è che quasi tutti gli antivirus non controllavano correttamente i collegamenti simbolici e, credendo di eliminare il file dannoso, eliminavano un file nella cartella a cui puntava il collegamento simbolico.
In Linux e macOS è stato dimostrato come un utente non privilegiato possa eliminare /etc/passwd o qualsiasi altro file di sistema, e su Windows una libreria DDL dell'antivirus stesso per bloccarne il funzionamento (su Windows l'attacco è limitato solo all'eliminazione di file che attualmente non sono utilizzati da altre applicazioni). Ad esempio, un aggressore potrebbe creare una cartella "exploit" e caricarvi un file EpSecApiLib.dll con una firma di test del virus, quindi, prima dell'eliminazione, sostituire la cartella "exploit" con un collegamento "C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform", il che porterebbe all'eliminazione della libreria EpSecApiLib.dll dalla cartella dell'antivirus. In Linux e macos, un'operazione simile può essere eseguita sostituendo la cartella con un collegamento "\/etc".
#!/bin/sh
rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
while inotifywait -m “\/home\/user\/exploit\/passwd” | grep -m 5 “OPEN”
do
rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
fatto
Inoltre, in molti antivirus per Linux e macOS è stata trovata l'uso di nomi di file prevedibili durante la gestione di file temporanei nelle cartelle \/tmp e \/private\/tmp, il che potrebbe essere sfruttato per ottenere privilegi elevati fino all'utente root.
Attualmente, la maggior parte dei fornitori ha già risolto i problemi, ma è interessante notare che le prime notifiche sul problema sono state inviate ai produttori già nell'autunno del 2018. Anche se non tutti i produttori hanno rilasciato aggiornamenti, hanno avuto almeno 6 mesi per risolvere la situazione e RACK911 Labs ritiene di avere ora il diritto di rivelare informazioni sulle vulnerabilità. Si osserva che RACK911 Labs ha da tempo lavorato per identificare le vulnerabilità, ma non si aspettava che collaborare con i colleghi dell'industria antivirus fosse così difficile a causa dei ritardi nel rilascio degli aggiornamenti e dell'ignorare la necessità di risolvere urgentemente i problemi di sicurezza.
Prodotti soggetti al problema (il pacchetto antivirus gratuito ClamAV è assente dall'elenco):
- Linux
- BitDefender GravityZone
- Comodo Endpoint Security
- Eset File Server Security
- F-Secure Linux Security
- Kaspersky Endpoint Security
- McAfee Endpoint Security
- Sophos Anti-Virus per Linux
- Windows
- Avast Free Anti-Virus
- Avira Free Anti-Virus
- BitDefender GravityZone
- Comodo Endpoint Security
- F-Secure Computer Protection
- FireEye Endpoint Security
- Intercept X (Sophos)
- Kaspersky Endpoint Security
- Malwarebytes per Windows
- McAfee Endpoint Security
- Panda Dome
- Webroot Secure Anywhere
- macOS
- AVG
- BitDefender Total Security
- Eset Cyber Security
- Kaspersky Internet Security
- McAfee Total Protection
- Microsoft Defender (BETA)
- Norton Security
- Sophos Home
- Webroot Secure Anywhere
Fonte: opennet.ru
