La maggior parte degli antivirus si è rivelata vulnerabile agli attacchi tramite collegamenti simbolici.

I ricercatori di RACK911 Labs hanno osservato che quasi tutti i pacchetti antivirus per Windows, Linux e macOS erano vulnerabili ad attacchi che manipolano le condizioni di corsa (race conditions) durante l'eliminazione di file contenenti malware.

Per eseguire un attacco, è necessario caricare un file che l'antivirus riconosca come dannoso (ad esempio, si può utilizzare una firma di test), e dopo un certo periodo, dopo che l'antivirus ha identificato il file dannoso, ma immediatamente prima di chiamare la funzione per la sua eliminazione, sostituire la directory con un collegamento simbolico. In Windows, per ottenere lo stesso effetto, si utilizza un collegamento di directory (directory junction). Il problema è che quasi tutti gli antivirus non controllavano correttamente i collegamenti simbolici e, credendo di eliminare il file dannoso, eliminavano il file nella directory a cui punta il collegamento simbolico.

In Linux e macOS è stato dimostrato come un utente non privilegiato possa eliminare /etc/passwd o qualsiasi altro file di sistema, mentre in Windows può eliminare una libreria DLL dell'antivirus stesso per bloccare il suo funzionamento (in Windows l'attacco è limitato solo all'eliminazione di file attualmente non utilizzati da altre applicazioni). Ad esempio, un aggressore può creare una directory "exploit" e caricare in essa il file EpSecApiLib.dll con una firma di test del virus, e poi, prima di eliminarlo, sostituire la directory "exploit" con il collegamento "C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform", il che porterà all'eliminazione della libreria EpSecApiLib.dll dalla directory dell'antivirus. In Linux e macOS si può eseguire un'operazione simile sostituendo la directory con il collegamento "/etc".

#!/bin/sh
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
while inotifywait -m “/home/user/exploit/passwd” | grep -m 5 “OPEN”
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
fatto

Inoltre, in molti antivirus per Linux e macOS è stata rilevata l'uso di nomi di file prevedibili durante la gestione dei file temporanei nelle directory /tmp e /private/tmp, che potrebbero essere utilizzati per elevare i privilegi a utente root.

Attualmente, i problemi sono stati risolti dalla maggior parte dei fornitori, ma è interessante notare che le prime segnalazioni del problema erano state inviate ai produttori nell'autunno del 2018. Anche se non tutti i produttori hanno rilasciato aggiornamenti, avevano a disposizione almeno 6 mesi per correggere, e RACK911 Labs ritiene di poter ora rivelare le informazioni sulle vulnerabilità. Va notato che RACK911 Labs lavora da tempo per identificare vulnerabilità, ma non si aspettava che sarebbe stato così difficile collaborare con i colleghi dell'industria antivirus a causa dei ritardi nel rilascio delle patch e dell'ignoranza della necessità di risolvere rapidamente i problemi di sicurezza.

I prodotti soggetti al problema (il pacchetto antivirus gratuito ClamAV non è incluso nella lista):

• Linux
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • Eset File Server Security
  • F-Secure Linux Security
  • Kaspersky Endpoint Security
  • McAfee Endpoint Security
  • Sophos Anti-Virus for Linux
• Windows
  • Avast Free Anti-Virus
  • Avira Free Anti-Virus
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • F-Secure Computer Protection
  • FireEye Endpoint Security
  • Intercept X (Sophos)
  • Kaspersky Endpoint Security
  • Malwarebytes for Windows
  • McAfee Endpoint Security
  • Panda Dome
  • Webroot Secure Anywhere
• macOS
  • AVG
  • BitDefender Total Security
  • Eset Cyber Security
  • Kaspersky Internet Security
  • McAfee Total Protection
  • Microsoft Defender (BETA)
  • Norton Security
  • Sophos Home
  • Webroot Secure Anywhere

  Fonte: opennet.ru