धेरैजसो एन्टिभाइरसहरू सांकेतिक लिङ्कहरू मार्फत आक्रमण गर्न संवेदनशील हुन्छन्

RACK911 ल्याब्सका शोधकर्ताहरू ध्यानाकर्षण गरे विन्डोज, लिनक्स र macOS का लागि लगभग सबै एन्टिभाइरस प्याकेजहरू मालवेयर पत्ता लगाइएको फाइलहरू मेटाउने क्रममा दौड अवस्था हेरफेर गर्ने आक्रमणहरूको लागि कमजोर थिए।

आक्रमण गर्नको लागि, तपाईंले एउटा फाइल अपलोड गर्न आवश्यक छ जुन एन्टिभाइरसले मालिसियसको रूपमा पहिचान गर्दछ (उदाहरणका लागि, तपाइँ परीक्षण हस्ताक्षर प्रयोग गर्न सक्नुहुन्छ), र निश्चित समय पछि, एन्टिभाइरसले दुर्भावनापूर्ण फाइल पत्ता लगाए पछि, तर प्रकार्य कल गर्नु अघि तुरुन्तै। यसलाई मेटाउनको लागि, फाइललाई प्रतीकात्मक लिङ्कको साथ डाइरेक्टरी बदल्नुहोस्। विन्डोजमा, समान प्रभाव प्राप्त गर्न, डाइरेक्टरी प्रतिस्थापन डाइरेक्टरी जंक्शन प्रयोग गरी गरिन्छ। समस्या यो हो कि लगभग सबै एन्टिभाइरसहरूले प्रतीकात्मक लिङ्कहरू राम्ररी जाँच गरेनन् र, तिनीहरूले एक दुर्भावनापूर्ण फाइल मेटाउँदै छन् भन्ने विश्वास गर्दै, प्रतीकात्मक लिङ्क पोइन्ट गर्ने डाइरेक्टरीमा फाइल मेटाइयो।

लिनक्स र macOS मा यो देखाइएको छ कि कसरी यस तरिकाले एक अप्रिभलेज्ड प्रयोगकर्ताले /etc/passwd वा अन्य कुनै प्रणाली फाइल मेटाउन सक्छ, र विन्डोजमा एन्टिभाइरसको DDL पुस्तकालयले यसको काम रोक्नको लागि (विन्डोजमा आक्रमण मेटाउन मात्र सीमित छ। फाइलहरू जुन हाल अन्य अनुप्रयोगहरूले प्रयोग नगरेका छन्)। उदाहरण को लागी, एक आक्रमणकारीले "शोषण" डाइरेक्टरी सिर्जना गर्न सक्छ र EpSecApiLib.dll फाइलमा परीक्षण भाइरस हस्ताक्षरको साथ अपलोड गर्न सक्छ, र त्यसपछि "शोषण" डाइरेक्टरीलाई लिङ्क "C:\Program Files (x86)\McAfee\ लाई बदल्न सक्छ। एन्डपोइन्ट सेक्युरिटी\इन्डपोइन्ट सेक्युरिटी” प्लेटफर्म मेटाउनु अघि, जसले एन्टिभाइरस क्याटलगबाट EpSecApiLib.dll लाइब्रेरी हटाउनेछ। लिनक्स र macos मा, एक समान चाल "/etc" लिङ्क संग डाइरेक्टरी प्रतिस्थापन गरेर गर्न सकिन्छ।

#! / bin / sh
rm -rf /home/user/exploit; mkdir/home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
जबकि inotifywait -m “/home/user/exploit/passwd” | grep -m 5 "खोल्नुहोस्"
do
rm -rf /home/user/exploit; ln -s /etc /home/user/exploit
सम्पन्न

यसबाहेक, लिनक्स र macOS का लागि धेरै एन्टिभाइरसहरूले /tmp र /private/tmp डाइरेक्टरीमा अस्थायी फाइलहरूसँग काम गर्दा अनुमानित फाइल नामहरू प्रयोग गरेको फेला पर्यो, जुन रूट प्रयोगकर्तालाई विशेषाधिकारहरू बढाउन प्रयोग गर्न सकिन्छ।

अहिले सम्म, समस्याहरु लाई पहिले नै धेरै आपूर्तिकर्ताहरु द्वारा तय गरिएको छ, तर यो उल्लेखनीय छ कि समस्या को बारे मा पहिलो अधिसूचना 2018 को पतन मा निर्माताहरु लाई पठाइएको थियो। यद्यपि सबै विक्रेताहरूले अद्यावधिकहरू जारी गरेका छैनन्, तिनीहरूलाई प्याच गर्न कम्तिमा 6 महिना दिइएको छ, र RACK911 ल्याबहरूले विश्वास गर्छ कि यो अब कमजोरीहरू खुलासा गर्न स्वतन्त्र छ। यो नोट गरिएको छ कि RACK911 ल्याबहरूले लामो समयदेखि कमजोरीहरू पहिचान गर्न काम गरिरहेको छ, तर अपडेटहरू जारी गर्नमा ढिलाइ र तुरुन्तै सुरक्षा सुधार गर्ने आवश्यकतालाई बेवास्ता गर्दा एन्टिभाइरस उद्योगका सहकर्मीहरूसँग काम गर्न यत्तिको गाह्रो हुनेछ भन्ने आशा थिएन। समस्याहरू।

प्रभावित उत्पादनहरू (नि:शुल्क एन्टिभाइरस प्याकेज ClamAV सूचीबद्ध छैन):

• लिनक्स
  • Bitdefender गुरुत्वाकर्षण क्षेत्र
  • Comodo EndPoint सुरक्षा
  • एसेट फाईल सर्भर सुरक्षा
  • एफ-सुरक्षित लिनक्स सुरक्षा
  • क्यास्परसी एन्डपोइन्ट सुरक्षा
  • म्याकॅफी एन्डपोइन्ट सुरक्षा
  • लिनक्सको लागि सोफोस एन्टि भाइरस
• Windows
  • अवास्ट फ्री एन्टि भाइरस
  • अविरा नि: शुल्क एन्टि भाइरस
  • Bitdefender गुरुत्वाकर्षण क्षेत्र
  • Comodo EndPoint सुरक्षा
  • एफ-सुरक्षित कम्प्युटर सुरक्षा
  • FireEye EndPoint सुरक्षा
  • एक्ससेप्ट एक्स (सोफोस)
  • कास्परपर्की एन्डपोइन्ट सुरक्षा
  • विन्डोज को लागी मालवेयरबाइट्स
  • म्याकॅफी एन्डपोइन्ट सुरक्षा
  • पांडा गुम्बज
  • Webroot सुरक्षित कहीं पनि
• MacOS
  • AVG
  • BitDefender कुल सुरक्षा
  • Eset साइबर सुरक्षा
  • कास्पर्सकी इन्टरनेट सुरक्षा
  • McAfee कुल संरक्षण
  • माइक्रोसफ्ट डिफेन्डर (BETA)
  • नर्टन सुरक्षा
  • सोफोस गृह
  • Webroot सुरक्षित कहीं पनि

  स्रोत: opennet.ru