antiviruses ສ່ວນໃຫຍ່ມີຄວາມອ່ອນໄຫວຕໍ່ກັບການໂຈມຕີໂດຍຜ່ານການເຊື່ອມຕໍ່ສັນຍາລັກ

ນັກຄົ້ນຄວ້າຈາກຫ້ອງທົດລອງ RACK911 ດຶງຄວາມສົນໃຈ ວ່າເກືອບທຸກແພັກເກັດແອນຕິໄວຣັສສໍາລັບ Windows, Linux ແລະ macOS ມີຄວາມສ່ຽງຕໍ່ການໂຈມຕີການຈັດການເງື່ອນໄຂເຊື້ອຊາດໃນລະຫວ່າງການລຶບໄຟລ໌ທີ່ malware ຖືກກວດພົບ.

ເພື່ອປະຕິບັດການໂຈມຕີ, ທ່ານຈໍາເປັນຕ້ອງອັບໂຫລດໄຟລ໌ທີ່ antivirus ຮັບຮູ້ວ່າເປັນອັນຕະລາຍ (ຕົວຢ່າງ, ທ່ານສາມາດນໍາໃຊ້ລາຍເຊັນຂອງການທົດສອບ), ແລະຫຼັງຈາກເວລາໃດຫນຶ່ງ, ຫຼັງຈາກ antivirus ກວດພົບໄຟລ໌ທີ່ເປັນອັນຕະລາຍ, ແຕ່ທັນທີກ່ອນທີ່ຈະໂທຫາຫນ້າທີ່. ເພື່ອລຶບມັນ, ແທນທີ່ໄດເລກະທໍລີດ້ວຍໄຟລ໌ທີ່ມີການເຊື່ອມຕໍ່ສັນຍາລັກ. ໃນ Windows, ເພື່ອບັນລຸຜົນກະທົບດຽວກັນ, ການທົດແທນໄດເລກະທໍລີແມ່ນດໍາເນີນການໂດຍໃຊ້ຈຸດເຊື່ອມຕໍ່ຂອງໄດເລກະທໍລີ. ບັນຫາແມ່ນວ່າ antiviruses ເກືອບທັງຫມົດບໍ່ໄດ້ກວດສອບການເຊື່ອມຕໍ່ສັນຍາລັກຢ່າງຖືກຕ້ອງແລະ, ເຊື່ອວ່າພວກເຂົາເຈົ້າກໍາລັງລຶບໄຟລ໌ທີ່ເປັນອັນຕະລາຍ, ລຶບໄຟລ໌ທີ່ຢູ່ໃນໄດເລກະທໍລີທີ່ຈຸດເຊື່ອມຕໍ່ສັນຍາລັກ.

ໃນ Linux ແລະ macOS ມັນສະແດງໃຫ້ເຫັນວິທີການນີ້ຜູ້ໃຊ້ທີ່ບໍ່ມີສິດທິສາມາດລຶບ /etc/passwd ຫຼືໄຟລ໌ລະບົບອື່ນໆ, ແລະໃນ Windows ຫໍສະຫມຸດ DDL ຂອງ antivirus ຕົວຂອງມັນເອງເພື່ອສະກັດກັ້ນການເຮັດວຽກຂອງມັນ (ໃນ Windows ການໂຈມຕີແມ່ນຈໍາກັດພຽງແຕ່ການລຶບ. ໄຟລ໌ທີ່ບໍ່ໄດ້ໃຊ້ໂດຍແອັບພລິເຄຊັນອື່ນ). ຕົວຢ່າງເຊັ່ນ, ຜູ້ໂຈມຕີສາມາດສ້າງໄດເລກະທໍລີ "exploit" ແລະອັບໂຫລດໄຟລ໌ EpSecApiLib.dll ທີ່ມີລາຍເຊັນໄວຣັດທົດສອບເຂົ້າໄປໃນມັນ, ແລະຫຼັງຈາກນັ້ນປ່ຽນລາຍຊື່ "exploit" ດ້ວຍລິ້ງ "C:\Program Files (x86)\McAfee\ Endpoint Security\Endpoint Security” ກ່ອນທີ່ຈະລຶບມັນ Platform”, ເຊິ່ງຈະນໍາໄປສູ່ການເອົາຫ້ອງສະຫມຸດ EpSecApiLib.dll ອອກຈາກລາຍການ antivirus. ໃນ Linux ແລະ macos, trick ທີ່ຄ້າຍຄືກັນສາມາດເຮັດໄດ້ໂດຍການປ່ຽນໄດເລກະທໍລີດ້ວຍການເຊື່ອມຕໍ່ "/etc".

#! / bin / sh
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
ໃນຂະນະທີ່ inotifywait -m “/home/user/exploit/passwd” | grep -m 5 “ເປີດ”
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
ເຮັດ

ຍິ່ງໄປກວ່ານັ້ນ, ຫຼາຍ antiviruses ສໍາລັບ Linux ແລະ macOS ໄດ້ຖືກພົບເຫັນວ່າໃຊ້ຊື່ໄຟລ໌ທີ່ຄາດເດົາໄດ້ໃນເວລາທີ່ເຮັດວຽກກັບໄຟລ໌ຊົ່ວຄາວໃນລະບົບ / tmp ແລະ /private / tmp, ເຊິ່ງສາມາດຖືກນໍາໃຊ້ເພື່ອຂະຫຍາຍສິດທິພິເສດໃຫ້ກັບຜູ້ໃຊ້ຮາກ.

ມາຮອດປະຈຸ, ບັນຫາໄດ້ຖືກແກ້ໄຂແລ້ວໂດຍຜູ້ສະຫນອງສ່ວນໃຫຍ່, ແຕ່ວ່າມັນເປັນທີ່ຫນ້າສັງເກດວ່າການແຈ້ງເຕືອນຄັ້ງທໍາອິດກ່ຽວກັບບັນຫາໄດ້ຖືກສົ່ງໄປຫາຜູ້ຜະລິດໃນລະດູໃບໄມ້ປົ່ງຂອງ 2018. ເຖິງແມ່ນວ່າຜູ້ຂາຍບໍ່ໄດ້ອອກການອັບເດດທັງຫມົດ, ພວກເຂົາໄດ້ຮັບເວລາຢ່າງຫນ້ອຍ 6 ເດືອນເພື່ອແກ້ໄຂ, ແລະ RACK911 Labs ເຊື່ອວ່າຕອນນີ້ມັນບໍ່ເສຍຄ່າທີ່ຈະເປີດເຜີຍຊ່ອງໂຫວ່. ມັນໄດ້ຖືກສັງເກດເຫັນວ່າ RACK911 Labs ໄດ້ເຮັດວຽກກ່ຽວກັບການກໍານົດຈຸດອ່ອນສໍາລັບເວລາດົນນານ, ແຕ່ມັນບໍ່ໄດ້ຄາດຫວັງວ່າມັນຈະມີຄວາມຫຍຸ້ງຍາກຫຼາຍທີ່ຈະເຮັດວຽກກັບເພື່ອນຮ່ວມງານຈາກອຸດສາຫະກໍາ antivirus ເນື່ອງຈາກຄວາມລ່າຊ້າໃນການປ່ອຍການປັບປຸງແລະບໍ່ສົນໃຈຄວາມຈໍາເປັນໃນການແກ້ໄຂຄວາມປອດໄພຢ່າງຮີບດ່ວນ. ບັນຫາ.

ຜະລິດຕະພັນທີ່ໄດ້ຮັບຜົນກະທົບ (ຊຸດປ້ອງກັນໄວລັດ ClamAV ບໍ່ມີລາຍຊື່):

• Linux
  • ບໍລິສັດ BitDefender GravityZone
  • ຄວາມປອດໄພຂອງ Comodo Endpoint
  • ຄວາມປອດໄພຂອງເຊີບເວີໄຟລ Es Eset
  • F-Secure Linux ຄວາມປອດໄພ
  • ຄວາມປອດໄພຂອງ Kaspersy Endpoint
  • ຄວາມປອດໄພຂອງ McAfee Endpoint
  • Sophos Anti-Virus ສຳ ລັບ Linux
• Windows
  • Avast Free ຕ້ານໄວຣັດ
  • ຢາຕ້ານໄວຣັດ Avira ຟຣີ
  • ບໍລິສັດ BitDefender GravityZone
  • ຄວາມປອດໄພຂອງ Comodo Endpoint
  • ການປົກປ້ອງຄອມພິວເຕີ້ F-Secure
  • ຄວາມປອດໄພຂອງ FireEye Endpoint
  • ຂັດຂວາງ X (Sophos)
  • ຄວາມປອດໄພຂອງ Kaspersky Endpoint
  • Malwarebytes ສຳ ລັບ Windows
  • ຄວາມປອດໄພຂອງ McAfee Endpoint
  • ໝີ ແພນດາ
  • Webroot ຮັບປະກັນທຸກບ່ອນ
• MacOS
  • AVG
  • BitDefender ຄວາມປອດໄພທັງົດ
  • Eset Cyber ​​Security
  • Kaspersky Internet Security
  • McAfee Total Protection
  • ຜູ້ປ້ອງກັນ Microsoft (BETA)
  • Norton Security
  • Sophos Home
  • Webroot ຮັບປະກັນທຸກບ່ອນ

  ແຫຼ່ງຂໍ້ມູນ: opennet.ru