ຜູ້ລັກລະຫັດຜ່ານໃນຊອບແວຕ້ານໄວຣັສ Avira Free Antivirus

ຈະເປັນແນວໃດຖ້າຂ້ອຍບອກເຈົ້າວ່າຫນ້າທີ່ດຽວຂອງຫນຶ່ງໃນອົງປະກອບຊອບແວຕ້ານໄວຣັສທີ່ມີລາຍເຊັນດິຈິຕອນທີ່ເຊື່ອຖືໄດ້ແມ່ນການເກັບກໍາຂໍ້ມູນປະຈໍາຕົວຂອງເຈົ້າທັງຫມົດທີ່ເກັບໄວ້ໃນຕົວທ່ອງເວັບອິນເຕີເນັດທີ່ນິຍົມ? ຈະ​ເປັນ​ແນວ​ໃດ​ຖ້າ​ຂ້ອຍ​ເວົ້າ​ວ່າ​ບໍ່​ມີ​ຄວາມ​ສົນ​ໃຈ​ຂອງ​ລາວ​ທີ່​ຈະ​ເກັບ​ເອົາ? ເຈົ້າອາດຈະຄິດວ່າຂ້ອຍຫຼອກລວງ. ມາເບິ່ງກັນວ່າມັນເປັນແນວໃດ?

ຄວາມເຂົ້າໃຈ

ດໍາລົງຊີວິດແລະດໍາລົງຊີວິດເຊັ່ນບໍລິສັດ antivirus ເປັນ Avira GmbH & Co. ກິ​ໂລກ​ຣາມ. ຜະລິດຜະລິດຕະພັນຕ່າງໆທີ່ກ່ຽວຂ້ອງກັບຄວາມປອດໄພຂອງຂໍ້ມູນ. ມີເຖິງແມ່ນວ່າຜະລິດຕະພັນຟຣີສໍາລັບການນໍາໃຊ້ເຮືອນ.

ໃຫ້ມີຄວາມສົນໃຈໃນສະບັບຟຣີແລະເບິ່ງວ່າຜະລິດຕະພັນຂອງເພື່ອນຮ່ວມງານເຍຍລະມັນຂອງພວກເຮົາສາມາດເຮັດໄດ້ແນວໃດ. ພວກເຮົາ glance ໃນໄລຍະການໂຕ້ຕອບ - ບໍ່ມີຫຍັງຜິດປົກກະຕິ. ພວກເຮົາບໍ່ພົບເຫັນການກ່າວເຖິງໃດໆຂອງຜະລິດຕະພັນຂອງບໍລິສັດ - Avira Password Manager.

ໃຫ້ພິຈາລະນາອົງປະກອບທີ່ມີຊື່ທີ່ບໍ່ດຶງດູດຄວາມສົນໃຈ "Avira.PWM.NativeMessaging.exe"? ມັນໄດ້ຖືກລວບລວມສໍາລັບແພລະຕະຟອມ .NET ແລະບໍ່ໄດ້ສັບສົນໃນທາງໃດກໍ່ຕາມ, ດັ່ງນັ້ນພວກເຮົາຈຶ່ງໂຫລດມັນເຂົ້າໄປໃນ dnSpy ແລະສຶກສາລະຫັດໂຄງການຢ່າງເສລີ.

ໂປລແກລມເປັນໂປລແກລມ console ແລະມັນຄາດຫວັງວ່າຄໍາສັ່ງໃນກະແສການປ້ອນຂໍ້ມູນມາດຕະຖານ. ຫນ້າທີ່ຕົ້ນຕໍໂດຍໃຊ້ "ອ່ານ"ອ່ານຂໍ້ມູນຈາກກະແສ, ກວດເບິ່ງຮູບແບບແລະສົ່ງຄໍາສັ່ງໄປຫາຫນ້າທີ່"ຂໍ້ຄວາມຂະບວນການ" ດຽວກັນ, ໃນທາງກັບກັນ, ກວດເບິ່ງວ່າຄໍາສັ່ງຖ່າຍທອດແມ່ນ "fetchChromePasswords"ຫຼື"ດຶງເອົາຂໍ້ມູນປະຈໍາຕົວ" (ເຖິງແມ່ນວ່າມັນມີຄວາມແຕກຕ່າງກັນແນວໃດຖ້າພຶດຕິກໍາເພີ່ມເຕີມແມ່ນຄືກັນ?) ແລະຫຼັງຈາກນັ້ນພາກສ່ວນທີ່ຫນ້າສົນໃຈທີ່ສຸດເລີ່ມຕົ້ນ - ໂທຫາຫນ້າທີ່ "ດຶງຂໍ້ມູນຕົວຕົນຂອງບຣາວເຊີ" ມັນຫນ້າສົນໃຈ ... ຫນ້າທີ່ທີ່ມີຊື່ນັ້ນສາມາດເຮັດຫຍັງໄດ້?

ບໍ່ມີຫຍັງຜິດປົກກະຕິ, ມັນພຽງແຕ່ລວບລວມເຂົ້າໄປໃນບັນຊີຜູ້ໃຊ້ທັງຫມົດທີ່ບັນທຶກໄວ້ໃນເວລາທີ່ເຮັດວຽກກັບຕົວທ່ອງເວັບອິນເຕີເນັດ "Chrome", "Opera" (ອີງໃສ່ Chromium), "Firefox" ແລະ "Edge" (ອີງໃສ່ Chromium) ແລະສົ່ງຄືນຂໍ້ມູນເປັນ. ວັດຖຸ JSON.

ແລ້ວ, ມັນຈະສະແດງຂໍ້ມູນທີ່ເກັບກໍາກັບ console:

ເນື້ອແທ້ຂອງບັນຫາ

• ອົງປະກອບເກັບກໍາຂໍ້ມູນປະຈໍາຕົວຂອງຜູ້ໃຊ້;
• ອົງປະກອບບໍ່ໄດ້ກວດສອບໂຄງການໂທຫາ (ຕົວຢ່າງ, ໂດຍບໍ່ວ່າຈະມີລາຍເຊັນດິຈິຕອນຈາກຜູ້ຜະລິດເອງ);
• ອົງປະກອບດັ່ງກ່າວມີລາຍເຊັນດິຈິຕອນ "ທີ່ເຊື່ອຖືໄດ້" ແລະບໍ່ໄດ້ສ້າງຄວາມສົງໃສໃນບັນດາຜູ້ຜະລິດຊອບແວຕ້ານເຊື້ອໄວຣັສອື່ນໆ;
• ອົງປະກອບດໍາເນີນການເປັນຄໍາຮ້ອງສະຫມັກແຍກຕ່າງຫາກ.

IoC

SHA1: 13c95241e671b98342dba51741fd02621768ecd5.

CVE-2020-12680 ຖືກອອກສໍາລັບບັນຫານີ້.

ໃນວັນທີ 07.04.2020/XNUMX/XNUMX ຂ້າພະເຈົ້າໄດ້ສົ່ງຈົດໝາຍກ່ຽວກັບບັນຫານີ້ໄປໃຫ້: [email protected] и [email protected] ມີລາຍລະອຽດເຕັມ. ບໍ່ມີຈົດໝາຍຕອບ, ລວມທັງຈາກລະບົບອັດຕະໂນມັດ. ຫນຶ່ງເດືອນຕໍ່ມາ, ອົງປະກອບທີ່ອະທິບາຍຍັງຖືກແຈກຢາຍຢູ່ໃນການແຈກຢາຍ Avira Free Antivirus.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com