{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"Majoritatea antivirusurilor s-au dovedit a fi vulnerabile la atacuri prin linkuri simbolice","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Cercet\u0103torii de la RACK911 Labs au observat<\/a><\/noindex> c\u0103 aproape toate pachetele antivirus pentru Windows, Linux \u0219i macOS erau vulnerabile la atacuri care manipuleaz\u0103 condi\u021biile de concuren\u021b\u0103 \u00een timpul \u0219tergerii fi\u0219ierelor \u00een care a fost detectat malware.<\/p>\n

Pentru a efectua un atac, este necesar s\u0103 se \u00eencarce un fi\u0219ier pe care antivirusul \u00eel recunoa\u0219te ca fiind malware (de exemplu, se poate folosi o semn\u0103tur\u0103 de test) \u0219i, dup\u0103 un anumit timp, dup\u0103 ce a fost identificat fi\u0219ierul mali\u021bios de c\u0103tre antivirus, dar \u00eenainte de a apela func\u021bia pentru \u0219tergerea acestuia, s\u0103 se \u00eenlocuiasc\u0103 directorul cu fi\u0219ierul printr-un link simbolic. \u00cen Windows, pentru a ob\u021bine acela\u0219i efect, se face o \u00eenlocuire a directorului printr-o jonc\u021biune de director. Problema este c\u0103 aproape toate antivirusurile nu verificau corespunz\u0103tor linkurile simbolice \u0219i, consider\u00e2nd c\u0103 \u0219terg fi\u0219ierul mali\u021bios, \u0219tergeau fi\u0219ierul din directorul la care face referire linkul simbolic. <\/p>\n

Pe Linux \u0219i macOS este demonstrat cum un utilizator neprivilegiat poate \u0219terge \/etc\/passwd sau orice alt fi\u0219ier de sistem, iar \u00een Windows o bibliotec\u0103 DDL a antivirusului pentru a-i bloca func\u021bionarea (\u00een Windows atacul este limitat doar la \u0219tergerea fi\u0219ierelor care \u00een acel moment nu sunt folosite de alte aplica\u021bii). De exemplu, atacatorul poate crea un director numit «exploit» \u0219i s\u0103 \u00eencarce \u00een el fi\u0219ierul EpSecApiLib.dll cu o semn\u0103tur\u0103 de virus de test, dup\u0103 care \u00eenainte de \u0219tergere poate schimba directorul «exploit» cu un link «C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform», ceea ce va duce la \u0219tergerea bibliotecii EpSecApiLib.dll din directorul antivirusului. Pe Linux \u0219i macOS, o abordare similar\u0103 poate fi realizat\u0103 prin \u00eenlocuirea directorului cu un link «\\\/etc».<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m “\\\/home\\\/user\\\/exploit\\\/passwd” | grep -m 5 “OPEN”
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n gata<\/p>\n


\n
\r\n \"Reda\u021bi\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

\u00cen plus, \u00een multe antivirusuri pentru Linux \u0219i macOS s-a descoperit utilizarea numelui de fi\u0219iere previzibile \u00een lucrul cu fi\u0219iere temporare din directoarele \/tmp \u0219i \/private\/tmp, ceea ce ar putea fi folosit pentru a ob\u021bine privilegii la utilizatorul root. <\/p>\n

La aceast\u0103 dat\u0103, problemele au fost deja solu\u021bionate de majoritatea furnizorilor, dar este remarcabil c\u0103 primele notific\u0103ri despre problem\u0103 au fost trimise produc\u0103torilor \u00eenc\u0103 din toamna anului 2018. Chiar dac\u0103 nu to\u021bi produc\u0103torii au lansat actualiz\u0103ri, le-a fost oferit un termen minim de 6 luni pentru remediere, iar RACK911 Labs consider\u0103 c\u0103 acum are dreptul s\u0103 dezv\u0103luie informa\u021bii despre vulnerabilit\u0103\u021bi. Se men\u021bioneaz\u0103 c\u0103 RACK911 Labs lucreaz\u0103 de mult la identificarea vulnerabilit\u0103\u021bilor, dar nu se a\u0219tepta ca colaborarea cu colegii din industria antivirus s\u0103 fie at\u00e2t de dificil\u0103 din cauza \u00eent\u00e2rzierilor \u00een lansarea actualiz\u0103rilor \u0219i a ignor\u0103rii necesit\u0103\u021bii unei remedieri urgente a problemelor de securitate.<\/p>\n

Produse afectate de problem\u0103 (pachetul antivirus gratuit ClamAV nu este inclus \u00een list\u0103):<\/p>\n