बहुतेक अँटीव्हायरस प्रतिकात्मक दुव्यांद्वारे हल्ल्यांना संवेदनाक्षम असतात

RACK911 लॅबमधील संशोधक लक्षात आले Windows, Linux आणि macOS साठी जवळजवळ सर्व अँटीव्हायरस पॅकेजेस ज्या फाइल्समध्ये मालवेअर आढळले होते ते हटवताना शर्यतीच्या परिस्थितीमध्ये फेरफार करणार्‍या हल्ल्यांना असुरक्षित होते.

हल्ला करण्यासाठी, तुम्हाला अँटीव्हायरस दुर्भावनापूर्ण म्हणून ओळखणारी फाइल अपलोड करणे आवश्यक आहे (उदाहरणार्थ, तुम्ही चाचणी स्वाक्षरी वापरू शकता), आणि विशिष्ट वेळेनंतर, अँटीव्हायरसने दुर्भावनापूर्ण फाइल शोधल्यानंतर, परंतु फंक्शन कॉल करण्यापूर्वी लगेच ते हटवण्यासाठी, डिरेक्टरीला प्रतिकात्मक दुव्यासह फाइलसह बदला. विंडोजवर, समान प्रभाव प्राप्त करण्यासाठी, निर्देशिका जंक्शन वापरून निर्देशिका प्रतिस्थापन केले जाते. समस्या अशी आहे की जवळजवळ सर्व अँटीव्हायरसने प्रतिकात्मक दुवे योग्यरित्या तपासले नाहीत आणि, ते दुर्भावनापूर्ण फाइल हटवित आहेत असा विश्वास ठेवून, प्रतिकात्मक दुवा ज्या निर्देशिकेकडे निर्देशित करते त्या फाइल हटवल्या.

लिनक्स आणि मॅकओएसमध्ये हे दाखवले आहे की अशा प्रकारे अनप्रिव्हिलेज्ड वापरकर्ता /etc/passwd किंवा इतर कोणतीही सिस्टम फाइल कशी हटवू शकतो आणि विंडोजमध्ये अँटीव्हायरसची डीडीएल लायब्ररी स्वतःच त्याचे कार्य अवरोधित करण्यासाठी (विंडोजमध्ये हल्ला केवळ हटवण्यापुरता मर्यादित आहे. फायली ज्या सध्या इतर अनुप्रयोगांद्वारे वापरल्या जात नाहीत). उदाहरणार्थ, आक्रमणकर्ता एक “शोषण” निर्देशिका तयार करू शकतो आणि त्यात चाचणी व्हायरस स्वाक्षरी असलेली EpSecApiLib.dll फाइल अपलोड करू शकतो आणि नंतर “शोषण” निर्देशिका “C:\Program Files (x86)\McAfee\ लिंकसह बदलू शकतो. प्लॅटफॉर्म हटवण्यापूर्वी एंडपॉईंट सिक्युरिटी\एंडपॉइंट सिक्युरिटी”, ज्यामुळे अँटीव्हायरस कॅटलॉगमधून EpSecApiLib.dll लायब्ररी काढून टाकली जाईल. Linux आणि macos मध्ये, "/etc" दुव्यासह निर्देशिका बदलून अशीच युक्ती केली जाऊ शकते.

#! / बिन / श
rm -rf /home/user/exploit ; mkdir/home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
inotifywait -m “/home/user/exploit/passwd” | grep -m 5 “ओपन”
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
पूर्ण झाले

शिवाय, Linux आणि macOS साठी अनेक अँटीव्हायरस /tmp आणि /private/tmp निर्देशिकेत तात्पुरत्या फाइल्ससह काम करताना अंदाज लावता येण्याजोग्या फाइल नावांचा वापर करताना आढळले, ज्याचा वापर रूट वापरकर्त्याला विशेषाधिकार वाढवण्यासाठी केला जाऊ शकतो.

आतापर्यंत, बहुतेक पुरवठादारांद्वारे समस्या आधीच निश्चित केल्या गेल्या आहेत, परंतु हे लक्षात घेण्यासारखे आहे की समस्येबद्दलच्या पहिल्या सूचना 2018 च्या शरद ऋतूमध्ये उत्पादकांना पाठविण्यात आल्या होत्या. जरी सर्व विक्रेत्यांनी अद्यतने जारी केली नसली तरी, त्यांना पॅच करण्यासाठी किमान 6 महिन्यांचा कालावधी देण्यात आला आहे आणि RACK911 लॅबचा असा विश्वास आहे की ते आता भेद्यता उघड करण्यास मोकळे आहेत. हे लक्षात घेतले आहे की RACK911 लॅब बर्याच काळापासून असुरक्षा ओळखण्यावर काम करत आहेत, परंतु अद्यतने जारी करण्यात विलंब झाल्यामुळे आणि सुरक्षेचे तातडीने निराकरण करण्याच्या गरजेकडे दुर्लक्ष केल्यामुळे अँटीव्हायरस उद्योगातील सहकाऱ्यांसोबत काम करणे इतके कठीण होईल अशी अपेक्षा नव्हती. अडचणी.

प्रभावित उत्पादने (मुक्त अँटीव्हायरस पॅकेज ClamAV सूचीबद्ध नाही):

• linux
  • बिटडेफेंडर ग्रॅविटीझोन
  • कोमोडो एंडपॉईंट सुरक्षा
  • एसेट फाइल सर्व्हर सुरक्षा
  • एफ-सुरक्षित लिनक्स सुरक्षा
  • कॅस्परसी एंडपॉईंट सुरक्षा
  • मॅकॅफी एंडपॉईंट सुरक्षा
  • लिनक्ससाठी सोफोस अँटी-व्हायरस
• विंडोज
  • अवास्ट फ्री अँटी व्हायरस
  • अविरा फ्री अँटी व्हायरस
  • बिटडेफेंडर ग्रॅविटीझोन
  • कोमोडो एंडपॉईंट सुरक्षा
  • एफ-सुरक्षित संगणक संरक्षण
  • फायरएई एंडपॉईंट सुरक्षा
  • इंटरसेप्ट एक्स (सोफोस)
  • कॅस्परस्की एंडपॉईंट सुरक्षा
  • विंडोजसाठी मालवेअरबाइट्स
  • मॅकॅफी एंडपॉईंट सुरक्षा
  • पांडा घुमट
  • वेबरुट कोठेही सुरक्षित
• MacOS
  • एव्हीजी
  • BitDefender एकूण सुरक्षा
  • एसेट सायबर सुरक्षा
  • कॅस्परस्की इंटरनेट सुरक्षा
  • मॅकॅफी एकूण संरक्षण
  • मायक्रोसॉफ्ट डिफेंडर (बीटा)
  • नॉर्टन सुरक्षा
  • सोफोस होम
  • वेबरुट कोठेही सुरक्षित

  स्त्रोत: opennet.ru