{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"La maggior parte degli antivirus si \u00e8 rivelata vulnerabile agli attacchi tramite collegamenti simbolici.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I ricercatori di RACK911 Labs hanno osservato<\/a><\/noindex> che quasi tutti i pacchetti antivirus per Windows, Linux e macOS erano vulnerabili ad attacchi che manipolano le condizioni di corsa (race conditions) durante l'eliminazione di file contenenti malware.<\/p>\n

Per eseguire un attacco, \u00e8 necessario caricare un file che l'antivirus riconosca come dannoso (ad esempio, si pu\u00f2 utilizzare una firma di test), e dopo un certo periodo, dopo che l'antivirus ha identificato il file dannoso, ma immediatamente prima di chiamare la funzione per la sua eliminazione, sostituire la directory con un collegamento simbolico. In Windows, per ottenere lo stesso effetto, si utilizza un collegamento di directory (directory junction). Il problema \u00e8 che quasi tutti gli antivirus non controllavano correttamente i collegamenti simbolici e, credendo di eliminare il file dannoso, eliminavano il file nella directory a cui punta il collegamento simbolico. <\/p>\n

In Linux e macOS \u00e8 mostrato come un utente non privilegiato possa eliminare \/etc\/passwd o qualsiasi altro file di sistema, mentre in Windows si pu\u00f2 rimuovere la libreria DDL dell'antivirus stesso per bloccare il suo funzionamento (in Windows l'attacco \u00e8 limitato solo alla cancellazione di file che al momento non sono in uso da altre applicazioni). Ad esempio, un attaccante pu\u00f2 creare una cartella 'exploit' e caricare al suo interno il file EpSecApiLib.dll con una firma virale di test, dopo di che prima di eliminarla pu\u00f2 sostituire la cartella 'exploit' con un link a 'C:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform', il che porter\u00e0 alla rimozione della libreria EpSecApiLib.dll dalla cartella dell'antivirus. In Linux e macOS si pu\u00f2 eseguire una manovra simile sostituendo la cartella con un link a '\/etc'.<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\/home\/user\/exploit\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n fatto<\/p>\n


\n
\r\n \"Riproduci\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Inoltre, in molti antivirus per Linux e macOS \u00e8 stata rilevata l'uso di nomi di file prevedibili durante la gestione dei file temporanei nelle directory \/tmp e \/private\/tmp, che potrebbero essere utilizzati per elevare i privilegi a utente root. <\/p>\n

Attualmente, i problemi sono stati risolti dalla maggior parte dei fornitori, ma \u00e8 interessante notare che le prime segnalazioni del problema erano state inviate ai produttori nell'autunno del 2018. Anche se non tutti i produttori hanno rilasciato aggiornamenti, avevano a disposizione almeno 6 mesi per correggere, e RACK911 Labs ritiene di poter ora rivelare le informazioni sulle vulnerabilit\u00e0. Va notato che RACK911 Labs lavora da tempo per identificare vulnerabilit\u00e0, ma non si aspettava che sarebbe stato cos\u00ec difficile collaborare con i colleghi dell'industria antivirus a causa dei ritardi nel rilascio delle patch e dell'ignoranza della necessit\u00e0 di risolvere rapidamente i problemi di sicurezza.<\/p>\n

I prodotti soggetti al problema (il pacchetto antivirus gratuito ClamAV non \u00e8 incluso nella lista):<\/p>\n