Крадец на лозинки во бесплатен антивирусен антивирусен софтвер Avira

Што ако ви кажам дека единствената функција на една од компонентите на антивирусен софтвер што има доверлив дигитален потпис е да ги собере сите ваши ингеренции складирани во популарните интернет прелистувачи? Што ако кажам дека нему не му е важно чиј интерес е да ги собере? Веројатно ќе помислите дека сум во заблуда. Ајде да видиме како е навистина?

Разбирање

Живее и живее таква антивирусна компанија како Avira GmbH & Co. КИЛОГРАМ. Произведува различни производи поврзани со безбедноста на информациите. Постојат дури и бесплатни производи за домашна употреба.

Ајде да се заинтересираме за бесплатната верзија и да видиме што може да направи производот на нашите германски колеги. Гледаме преку интерфејсот - ништо необично. Не наоѓаме никакво спомнување на друг производ на компанијата - Avira Password Manager.

Ајде да ја погледнеме компонентата со име што не привлекува внимание “Avira.PWM.NativeMessaging.exe"? Тој е компајлиран за .NET платформата и не е заматен на никаков начин, затоа го вчитуваме во dnSpy и слободно го проучуваме програмскиот код.

Програмата е конзолна програма и очекува команди во стандардниот влезен тек. Главната функција користејќи "Прочитај„ги чита податоците од потокот, го проверува форматот и ја пренесува командата на функцијата“Процесна порака" Истото, пак, проверува дали пренесената команда е „fetchChromePasswords"или"fetchCredentials" (иако каква разлика има ако понатамошното однесување е исто?) и тогаш започнува најинтересниот дел - повикување на функцијата "RetrieveBrowserCredentials" Дури е интересно... што може да направи функција со тоа име?

Ништо необично, едноставно ги собира во една листа сите кориснички сметки зачувани при работа со интернет прелистувачите „Chrome“, „Opera“ (базиран на Chromium), „Firefox“ и „Edge“ (врз основа на Chromium) и ги враќа податоците како JSON објект.

Па, тогаш ги прикажува собраните податоци на конзолата:

Суштината на проблемот

• Компонентата собира кориснички акредитиви;
• Компонентата не ја потврдува програмата за повикување (на пример, со тоа дали има дигитален потпис од самиот производител);
• Компонентата има „доверлив“ дигитален потпис и не предизвикува сомнеж кај другите производители на антивирусен софтвер;
• Компонентата работи како посебна апликација.

IoC

SHA1: 13c95241e671b98342dba51741fd02621768ecd5.

За ова издание беше издаден CVE-2020-12680.

На 07.04.2020 испратив писмо за овој проблем до: [заштитена по е-пошта] и [заштитена по е-пошта] со целосен опис. Немаше писма за одговор, вклучително и од автоматските системи. Еден месец подоцна, опишаната компонента сè уште се дистрибуира во дистрибуцијата на Avira Free Antivirus.

Извор: www.habr.com