Већина антивируса је нападнута преко симболичких веза

Истраживачи из РАЦК911 Лабс скренуо пажњу да су скоро сви антивирусни пакети за Виндовс, Линук и мацОС били рањиви на нападе који манипулишу условима трке током брисања датотека у којима је откривен малвер.

Да бисте извршили напад, потребно је да отпремите датотеку коју антивирус препознаје као злонамерну (на пример, можете да користите пробни потпис), а након одређеног времена, након што антивирус открије злонамерну датотеку, али непосредно пре позивања функције да бисте га избрисали, замените директоријум датотеком са симболичком везом. У Виндовс-у, да би се постигао исти ефекат, замена директоријума се врши помоћу споја директоријума. Проблем је у томе што скоро сви антивируси нису правилно проверавали симболичке везе и, верујући да бришу злонамерну датотеку, избрисали су датотеку у директоријуму на који симболична веза упућује.

У Линук-у и мацОС-у је приказано како на овај начин непривилеговани корисник може да избрише /етц/пассвд или било који други системски фајл, а у Виндовс-у ДДЛ библиотеку самог антивируса да блокира његов рад (у Виндовс-у напад је ограничен само на брисање датотеке које тренутно не користе друге апликације). На пример, нападач може да креира директоријум „екплоит“ и да у њега отпреми датотеку ЕпСецАпиЛиб.длл са тестним вирусним потписом, а затим замени „екплоит“ директоријум везом „Ц:\Програм Филес (к86)\МцАфее\ Ендпоинт Сецурити\Ендпоинт Сецурити” пре него што га избришете Платформа“, што ће довести до уклањања библиотеке ЕпСецАпиЛиб.длл из антивирусног каталога. У Линук-у и мацос-у, сличан трик се може урадити заменом директоријума везом „/етц“.

# / Бин / сх
рм -рф /хоме/усер/екплоит; мкдир /хоме/усер/екплоит/
вгет -к хттпс://ввв.еицар.орг/довнлоад/еицар.цом.ткт -О /хоме/усер/екплоит/пассвд
док инотифиваит -м “/хоме/усер/екплоит/пассвд” | греп -м 5 “ОТВОРЕН”
do
рм -рф /хоме/усер/екплоит; лн -с /етц /хоме/усер/екплоит
урадио

Штавише, утврђено је да многи антивируси за Линук и мацОС користе предвидљива имена датотека када раде са привременим датотекама у директоријуму /тмп и /привате/тмп, што би се могло користити за ескалацију привилегија роот кориснику.

До сада су проблеми код већине добављача већ отклоњени, али је значајно да су прва обавештења о проблему произвођачима послата у јесен 2018. Иако нису сви добављачи објавили исправке, дато им је најмање 6 месеци да закрпе, а РАЦК911 Лабс верује да је сада слободан да открије пропусте. Напомиње се да РАЦК911 Лабс већ дуже време ради на идентификацији рањивости, али није очекивао да ће бити тако тешко радити са колегама из антивирусне индустрије због кашњења у објављивању ажурирања и игнорисања потребе да се хитно поправи безбедност проблеме.

Погођени производи (бесплатни антивирусни пакет ЦламАВ није наведен):

• линук
  • БитДефендер ГравитиЗоне
  • Цомодо Ендпоинт Сецурити
  • Есет Филе Сервер Сецурити
  • Ф-Сецуре Линук сигурност
  • Касперси Ендпоинт Сецурити
  • МцАфее Ендпоинт Сецурити
  • Сопхос Анти-Вирус за Линук
• виндовс
  • Аваст Фрее Анти-Вирус
  • Авира Фрее Анти-Вирус
  • БитДефендер ГравитиЗоне
  • Цомодо Ендпоинт Сецурити
  • Заштита рачунара Ф-Сецуре
  • ФиреЕие Ендпоинт Сецурити
  • Интерцепт Кс (Сопхос)
  • Касперски Ендпоинт Сецурити
  • Малваребитес за Виндовс
  • МцАфее Ендпоинт Сецурити
  • Панда купола
  • Веброот Сецуре Анивхере
• Мац ОС
  • АВГ
  • БитДефендер Тотал Сецурити
  • Есет Цибер Сецурити
  • Касперски Анти-Вирус
  • МцАфее Тотал Протецтион
  • Мицрософт Дефендер (БЕТА)
  • Нортон Сецурити
  • Сопхос Хоме
  • Веброот Сецуре Анивхере

  Извор: опеннет.ру