Крађа лозинки у Авира Фрее Антивирус антивирусном софтверу

Шта ако вам кажем да је једина функција једне од компоненти антивирусног софтвера која има поуздан дигитални потпис да прикупи све ваше акредитиве ускладиштене у популарним интернет претраживачима? Шта ако кажем да њему није важно чији је интерес да их сакупља? Вероватно ћете мислити да сам у заблуди. Да видимо како је заиста?

Разумевање

Живи и живи таква антивирусна компанија као Авира ГмбХ & Цо. КГ. Производи различите производе који се односе на безбедност информација. Постоје чак и бесплатни производи за кућну употребу.

Хајде да се заинтересујемо за бесплатну верзију и да видимо шта може да уради производ наших немачких колега. Погледамо преко интерфејса - ништа необично. Не налазимо помињање још једног производа компаније – Авира Пассворд Манагер.

Хајде да погледамо компоненту са именом која не привлачи пажњу “Авира.ПВМ.НативеМессагинг.еке"? Састављен је за .НЕТ платформу и ни на који начин није замућен, тако да га учитавамо у днСпи и слободно проучавамо програмски код.

Програм је конзолни програм и очекује команде у стандардном улазном току. Главна функција помоћу "Читати" чита податке из тока, проверава формат и прослеђује команду функцији "ПроцессМессаге" Исто, заузврат, проверава да ли је послата команда "фетцхЦхромеПассвордс"или"фетцхЦредентиалс" (мада каква је разлика ако је даље понашање исто?) и онда почиње најзанимљивији део - позивање функције "РетриевеБровсерЦредентиалс" Чак је занимљиво... шта може да уради функција са тим именом?

Ништа необично, једноставно прикупља у једну листу све корисничке налоге сачуване при раду са интернет претраживачима „Цхроме“, „Опера“ (засновано на Цхромиуму), „Фирефок“ и „Едге“ (засновано на Цхромиум-у) и враћа податке као ЈСОН објекат.

Па, онда приказује прикупљене податке на конзоли:

Суштина проблема

• Компонента прикупља корисничке акредитиве;
• Компонента не верификује програм који позива (на пример, по томе да ли има дигитални потпис самог произвођача);
• Компонента има „поуздани“ дигитални потпис и не изазива сумњу код других произвођача антивирусног софтвера;
• Компонента ради као посебна апликација.

ИоЦ

SHA1: 13c95241e671b98342dba51741fd02621768ecd5.

ЦВЕ-2020-12680 је издат за ово издање.

Дана 07.04.2020. послао сам писмо о овом проблему на: [емаил заштићен] и [емаил заштићен] са пуним описом. Није било писама одговора, укључујући и од аутоматских система. Месец дана касније, описана компонента се и даље дистрибуира у дистрибуцији Авира Фрее Антивирус.

Извор: ввв.хабр.цом