{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"A maioria dos antiv\u00edrus foi alvo de ataques atrav\u00e9s de links simb\u00f3licos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Pesquisadores da RACK911 Labs notaram<\/a><\/noindex> que quase todos os pacotes antiv\u00edrus para Windows, Linux e macOS eram vulner\u00e1veis a ataques que manipulavam condi\u00e7\u00f5es de corrida durante a exclus\u00e3o de arquivos identificados como maliciosos.<\/p>\n

Para executar um ataque, \u00e9 necess\u00e1rio carregar um arquivo que o antiv\u00edrus reconhe\u00e7a como malicioso (por exemplo, pode-se usar uma assinatura de teste), e ap\u00f3s um certo per\u00edodo, ap\u00f3s a detec\u00e7\u00e3o do arquivo malicioso pelo antiv\u00edrus, mas imediatamente antes da chamada da fun\u00e7\u00e3o para sua exclus\u00e3o, substituir o diret\u00f3rio do arquivo por um link simb\u00f3lico. No Windows, para alcan\u00e7ar o mesmo efeito, o diret\u00f3rio \u00e9 substitu\u00eddo por meio de uma jun\u00e7\u00e3o de diret\u00f3rio (directory junction). O problema \u00e9 que quase todos os antiv\u00edrus n\u00e3o verificavam corretamente os links simb\u00f3licos e, pensando que estavam excluindo o arquivo malicioso, realmente estavam apagando um arquivo no diret\u00f3rio apontado pelo link simb\u00f3lico. <\/p>\n

No Linux e macOS, mostra-se como um usu\u00e1rio n\u00e3o privilegiado pode deletar \/etc\/passwd ou qualquer outro arquivo do sistema, e no Windows, a biblioteca DDL do pr\u00f3prio antiv\u00edrus para bloquear sua opera\u00e7\u00e3o (no Windows, o ataque \u00e9 limitado apenas \u00e0 remo\u00e7\u00e3o de arquivos que n\u00e3o est\u00e3o sendo utilizados por outros aplicativos no momento). Por exemplo, o atacante pode criar um diret\u00f3rio chamado \"exploit\" e carregar nele o arquivo EpSecApiLib.dll com uma assinatura de v\u00edrus de teste, ap\u00f3s o que, antes de deletar, substituir o diret\u00f3rio \"exploit\" por um link \"C:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform\", resultando na remo\u00e7\u00e3o da biblioteca EpSecApiLib.dll do diret\u00f3rio do antiv\u00edrus. No Linux e macOS, uma t\u00e9cnica semelhante pode ser realizada substituindo o diret\u00f3rio por um link \"\\\/etc\".<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\\\/home\\\/user\\\/exploit\\\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n done<\/p>\n


\n
\r\n \"Por\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Al\u00e9m disso, em muitos antiv\u00edrus para Linux e macOS foi identificada a utiliza\u00e7\u00e3o de nomes de arquivos previs\u00edveis ao trabalhar com arquivos tempor\u00e1rios nos diret\u00f3rios \/tmp e \/private\/tmp, o que poderia ser utilizado para elevar privil\u00e9gios at\u00e9 o usu\u00e1rio root. <\/p>\n

Atualmente, a maioria dos fornecedores j\u00e1 resolveu os problemas, mas \u00e9 not\u00e1vel que as primeiras notifica\u00e7\u00f5es sobre o problema foram enviadas aos fabricantes ainda no outono de 2018. Apesar de nem todos os fabricantes terem lan\u00e7ado atualiza\u00e7\u00f5es, foi dado a eles pelo menos 6 meses para corrigir, e o RACK911 Labs acredita que agora tem o direito de divulgar informa\u00e7\u00f5es sobre as vulnerabilidades. Observa-se que a RACK911 Labs j\u00e1 est\u00e1 h\u00e1 um tempo trabalhando na identifica\u00e7\u00e3o de vulnerabilidades, mas n\u00e3o esperava que seria t\u00e3o dif\u00edcil trabalhar com colegas da ind\u00fastria antiv\u00edrus devido ao atraso na libera\u00e7\u00e3o de atualiza\u00e7\u00f5es e \u00e0 ignor\u00e2ncia da necessidade de resolver urgentemente os problemas de seguran\u00e7a.<\/p>\n

Produtos afetados pelo problema (o pacote antiv\u00edrus gratuito ClamAV n\u00e3o est\u00e1 inclu\u00eddo na lista):<\/p>\n