अविरा फ्री अँटीव्हायरस अँटीव्हायरस सॉफ्टवेअरमध्ये पासवर्ड चोरणारा

जर मी तुम्हाला सांगितले की विश्वासार्ह डिजिटल स्वाक्षरी असलेल्या अँटीव्हायरस सॉफ्टवेअर घटकांपैकी एकाचे कार्य लोकप्रिय इंटरनेट ब्राउझरमध्ये संग्रहित केलेली तुमची सर्व क्रेडेन्शियल गोळा करणे आहे? ते गोळा करण्यात ज्याचे हित आहे त्याला काही फरक पडत नाही असे मी म्हटले तर? तुम्हाला कदाचित वाटेल की मी भ्रामक आहे. बघूया ते खरंच कसं आहे?

समजून घेणे

अशा अँटीव्हायरस कंपनी जगतो आणि जगतो Avira GmbH & Co. केजी. माहिती सुरक्षेशी संबंधित विविध उत्पादनांची निर्मिती करते. घरगुती वापरासाठी विनामूल्य उत्पादने देखील आहेत.

चला विनामूल्य आवृत्तीमध्ये स्वारस्य मिळवा आणि आमच्या जर्मन सहकार्यांचे उत्पादन काय करू शकते ते पाहूया. आम्ही इंटरफेसवर नजर टाकतो - काही असामान्य नाही. आम्हाला कंपनीच्या दुसर्‍या उत्पादनांचा उल्लेख आढळला नाही - Avira Password Manager.

लक्ष वेधून न घेणार्‍या नावाच्या घटकावर एक नजर टाकूया "Avira.PWM.NativeMessaging.exe"? हे .NET प्लॅटफॉर्मसाठी संकलित केले आहे आणि कोणत्याही प्रकारे अस्पष्ट नाही, म्हणून आम्ही ते dnSpy मध्ये लोड करतो आणि प्रोग्राम कोडचा मुक्तपणे अभ्यास करतो.

प्रोग्राम हा एक कन्सोल प्रोग्राम आहे आणि तो मानक इनपुट प्रवाहात आदेशांची अपेक्षा करतो. "वापरून मुख्य कार्यवाचा"प्रवाहातील डेटा वाचतो, स्वरूप तपासतो आणि फंक्शनला कमांड पास करतो"प्रक्रिया संदेश" त्याच, बदल्यात, प्रसारित आदेश "आहे हे तपासते.ChromePasswords मिळवा" किंवा "क्रेडेन्शियल्स मिळवा" (जरी पुढील वर्तन समान असेल तर काय फरक पडतो?) आणि नंतर सर्वात मनोरंजक भाग सुरू होतो - फंक्शन कॉल करणे "ब्राउझर क्रेडेन्शियल्स पुनर्प्राप्त करा" हे अगदी मनोरंजक आहे... त्या नावाचे कार्य काय करू शकते?

काहीही असामान्य नाही, ते इंटरनेट ब्राउझर "Chrome", "Opera" (Chromium वर आधारित), "Firefox" आणि "Edge" (Chromium वर आधारित) सह काम करताना सेव्ह केलेली सर्व वापरकर्ता खाती एका सूचीमध्ये एकत्रित करते आणि डेटा म्हणून परत करते. JSON ऑब्जेक्ट.

बरं, मग तो कन्सोलवर गोळा केलेला डेटा प्रदर्शित करतो:

समस्येचे सार

• घटक वापरकर्ता क्रेडेन्शियल गोळा करतो;
• घटक कॉलिंग प्रोग्रामची पडताळणी करत नाही (उदाहरणार्थ, त्याच्याकडे निर्मात्याकडून डिजिटल स्वाक्षरी आहे की नाही);
• घटकामध्ये "विश्वसनीय" डिजिटल स्वाक्षरी आहे आणि इतर अँटी-व्हायरस सॉफ्टवेअर उत्पादकांमध्ये संशय निर्माण करत नाही;
• घटक स्वतंत्र अनुप्रयोग म्हणून चालतो.

IoC

SHA1: 13c95241e671b98342dba51741fd02621768ecd5.

या अंकासाठी CVE-2020-12680 जारी केले होते.

07.04.2020/XNUMX/XNUMX रोजी मी या समस्येबद्दल एक पत्र पाठवले: [ईमेल संरक्षित] и [ईमेल संरक्षित] संपूर्ण वर्णनासह. स्वयंचलित प्रणालींसह कोणतेही प्रतिसाद पत्र नव्हते. एक महिन्यानंतर, वर्णित घटक अद्याप अविरा फ्री अँटीव्हायरस वितरणामध्ये वितरित केला जातो.

स्त्रोत: www.habr.com