{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"La maggior parte dei software antivirus si \u00e8 rivelata vulnerabile ad attacchi attraverso i collegamenti simbolici","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I ricercatori della RACK911 Labs hanno notato<\/a><\/noindex> che quasi tutti i pacchetti antivirus per Windows, Linux e macOS erano vulnerabili ad attacchi che sfruttano condizioni di gara (race conditions) durante l'eliminazione di file in cui \u00e8 stato rilevato malware.<\/p>\n

Per eseguire un attacco, \u00e8 necessario caricare un file che l'antivirus riconosca come dannoso (ad esempio, \u00e8 possibile utilizzare una firma di test), e dopo un certo periodo, dopo che l'antivirus ha rilevato il file dannoso, ma proprio prima di chiamare la funzione per eliminarlo, sostituire la cartella con un collegamento simbolico. Su Windows, per ottenere lo stesso effetto, viene utilizzata una sostituzione della cartella tramite una junction directory. Il problema \u00e8 che quasi tutti gli antivirus non controllavano correttamente i collegamenti simbolici e, credendo di eliminare il file dannoso, eliminavano un file nella cartella a cui puntava il collegamento simbolico. <\/p>\n

In Linux e macOS \u00e8 mostrato come un utente non privilegiato pu\u00f2 eliminare il file di sistema \/etc\/passwd o qualsiasi altro file di sistema, mentre in Windows pu\u00f2 rimuovere la libreria DLL dell'antivirus stesso per bloccarne il funzionamento (in Windows l'attacco \u00e8 limitato solo all'eliminazione di file non attualmente utilizzati da altre applicazioni). Ad esempio, un attaccante pu\u00f2 creare una directory \"exploit\" e caricare al suo interno il file EpSecApiLib.dll con una firma di virus di test, e poi, prima di eliminarlo, sostituire la directory \"exploit\" con un collegamento \"C:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform\", il che porter\u00e0 all'eliminazione della libreria EpSecApiLib.dll dalla directory dell'antivirus. In Linux e macOS \u00e8 possibile utilizzare un approccio simile sostituendo la directory con un collegamento a \"\/etc\".<\/p>\n

#!\/bin\/sh
\n rm -rf \\\/home\\\/user\\\/exploit ; mkdir \\\/home\\\/user\\\/exploit\\\/
\n wget -q https:\\\/\\\/www.eicar.org\\\/download\\\/eicar.com.txt -O \\\/home\\\/user\\\/exploit\\\/passwd
\n while inotifywait -m \"\/home\/user\/exploit\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \\\/home\\\/user\\\/exploit ; ln -s \\\/etc \\\/home\\\/user\\\/exploit
\n fatto<\/p>\n


\n
\r\n \"Guarda\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Inoltre, in molti antivirus per Linux e macOS \u00e8 stata trovata l'uso di nomi di file prevedibili durante la gestione di file temporanei nelle cartelle \\\/tmp e \\\/private\\\/tmp, il che potrebbe essere sfruttato per ottenere privilegi elevati fino all'utente root. <\/p>\n

Attualmente, la maggior parte dei fornitori ha gi\u00e0 risolto i problemi, ma \u00e8 interessante notare che le prime notifiche sul problema sono state inviate ai produttori gi\u00e0 nell'autunno del 2018. Anche se non tutti i produttori hanno rilasciato aggiornamenti, hanno avuto almeno 6 mesi per risolvere la situazione e RACK911 Labs ritiene di avere ora il diritto di rivelare informazioni sulle vulnerabilit\u00e0. Si osserva che RACK911 Labs ha da tempo lavorato per identificare le vulnerabilit\u00e0, ma non si aspettava che collaborare con i colleghi dell'industria antivirus fosse cos\u00ec difficile a causa dei ritardi nel rilascio degli aggiornamenti e dell'ignorare la necessit\u00e0 di risolvere urgentemente i problemi di sicurezza.<\/p>\n

Prodotti soggetti al problema (il pacchetto antivirus gratuito ClamAV \u00e8 assente dall'elenco):<\/p>\n