גניבת סיסמאות בתוכנת אנטי וירוס חינמית Avira

מה אם אגיד לך שהפונקציה היחידה של אחד מרכיבי תוכנת האנטי וירוס שיש להם חתימה דיגיטלית מהימנה היא לאסוף את כל האישורים שלך המאוחסנים בדפדפני אינטרנט פופולריים? מה אם אני אגיד שזה לא משנה לו האינטרסים של מי לאסוף אותם? אתה בטח תחשוב שאני הוזה. בוא נראה איך זה באמת?

הֲבָנָה

חיה וחיה חברת אנטי וירוס כזו כמו Avira GmbH & Co. ק"ג. מייצרת מוצרים שונים הקשורים לאבטחת מידע. יש אפילו מוצרים חינמיים לשימוש ביתי.

בואו נתעניין בגרסה החינמית ונראה מה המוצר של עמיתינו הגרמנים יכול לעשות. אנחנו מציצים על הממשק - שום דבר יוצא דופן. אנחנו לא מוצאים אזכור למוצר אחר של החברה - Avira Password Manager.

בואו נסתכל על הרכיב עם השם שאינו מושך תשומת לב "Avira.PWM.NativeMessaging.exe"? הוא מורכב עבור פלטפורמת NET ואינו מעורפל בשום צורה, אז אנו מטילים אותו ל-dnSpy ולומדים בחופשיות את קוד התוכנית.

התוכנית היא תוכנית מסוף והיא מצפה לפקודות בזרם הקלט הסטנדרטי. פונקציה ראשית באמצעות "חומר עיוני"קורא נתונים מהזרם, בודק את הפורמט ומעביר את הפקודה לפונקציה"תהליך תהליכים" אותו דבר, בתורו, בודק שהפקודה המועברת היא "fetchChromePasswords"או"fetchCredentials" (אם כי מה זה משנה אם ההתנהגות הנוספת זהה?) ואז מתחיל החלק המעניין ביותר - לקרוא לפונקציה "אחזר אישורי דפדפן" זה אפילו מעניין... מה יכולה פונקציה עם השם הזה לעשות?

שום דבר יוצא דופן, הוא פשוט אוסף לרשימה אחת את כל חשבונות המשתמש שנשמרו בעת עבודה עם דפדפני האינטרנט "Chrome", "Opera" (מבוסס על Chromium), "Firefox" ו-"Edge" (מבוסס על Chromium) ומחזיר את הנתונים בתור אובייקט JSON.

ובכן, אז זה מציג את הנתונים שנאספו למסוף:

מהות הבעיה

• הרכיב אוסף אישורי משתמש;
• הרכיב אינו מאמת את התוכנית המתקשרת (לדוגמה, אם יש לה חתימה דיגיטלית מהיצרן עצמו);
• לרכיב יש חתימה דיגיטלית "מהימנה" ואינו מעורר חשד בקרב יצרניות תוכנות אנטי-וירוס אחרות;
• הרכיב פועל כאפליקציה נפרדת.

IoC

SHA1: 13c95241e671b98342dba51741fd02621768ecd5.

CVE-2020-12680 הונפק עבור בעיה זו.

ב-07.04.2020/XNUMX/XNUMX שלחתי מכתב על בעיה זו אל: [מוגן בדוא"ל] и [מוגן בדוא"ל] עם תיאור מלא. לא היו מכתבי תגובה, כולל ממערכות אוטומטיות. חודש לאחר מכן, הרכיב המתואר עדיין מופץ בהפצת Avira Free Antivirus.

מקור: www.habr.com