De flesta antivirusprogram var mottagliga för attacker via symboliska länkar

Forskare från företaget RACK911 Labs uppmärksammade att nästan alla antivirusprogram för Windows, Linux och macOS var sårbara för attacker som manipulerar race conditions vid borttagning av filer som innehåller skadlig kod.

För att genomföra en attack krävs att en fil laddas upp som antivirusprogrammet identifierar som skadlig (till exempel kan en testsignatur användas), och efter en viss tid, efter att den skadliga filen har upptäckts av antivirusprogrammet, men innan funktionen för dess borttagning anropas, förändras katalogen med filen till en symbolisk länk. I Windows uppnås samma effekt genom att byta katalog med hjälp av en directory junction. Problemet är att nästan alla antivirusprogram inte korrekt kontrollerade symboliska länkar och, i tron att de tar bort den skadliga filen, tog bort en fil i katalogen som den symboliska länken pekar på.

I Linux och macOS visas hur en icke-privilegierad användare kan ta bort /etc/passwd eller vilken annan systemfil som helst, medan i Windows kan DDL-biblioteket för själva antivirusprogrammet tas bort för att blockera dess funktion (i Windows är attacken begränsad till att bara ta bort filer som för närvarande inte används av andra applikationer). Till exempel kan angriparen skapa en katalog "exploit" och ladda upp filen EpSecApiLib.dll med en testvirus-signatur, varefter han före borttagningen kan byta katalog "exploit" till en länk "C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform", vilket leder till att biblioteket EpSecApiLib.dll tas bort från antiviruskatalogen. På Linux och macOS kan en liknande metod utföras genom att byta katalogen mot en länk "\/etc".

#!/bin/sh
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
while inotifywait -m "/home/user/exploit/passwd" | grep -m 5 "OPEN"
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
done

Dessutom har många antivirusprogram för Linux och macOS visat sig använda förutsägbara filnamn när de arbetar med temporära filer i katalogerna /tmp och /private/tmp, vilket kan ha använts för att höja privilegierna till root-användaren.

För närvarande har de flesta leverantörer löst problemen, men det är värt att notera att de första meddelandena om problemet skickades till tillverkarna redan hösten 2018. Trots att inte alla tillverkare har släppt uppdateringar, fick de minst 6 månader för att åtgärda problemen, och RACK911 Labs anser att de nu har rätt att avslöja information om sårbarheterna. Det noteras att RACK911 Labs har arbetat med att identifiera sårbarheter under en längre tid, men de hade inte förväntat sig att det skulle vara så svårt att samarbeta med kollegor inom antivirusindustrin på grund av fördröjningen av uppdateringar och ignoreringen av det akuta behovet av att åtgärda säkerhetsproblem.

Produkter som påverkas av problemet (den fria antiviruspaketet ClamAV saknas i listan):

• Linux
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • Eset File Server Security
  • F-Secure Linux Security
  • Kaspersky Endpoint Security
  • McAfee Endpoint Security
  • Sophos Anti-Virus for Linux
• Windows
  • Avast Free Anti-Virus
  • Avira Free Anti-Virus
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • F-Secure Computer Protection
  • FireEye Endpoint Security
  • Intercept X (Sophos)
  • Kaspersky Endpoint Security
  • Malwarebytes for Windows
  • McAfee Endpoint Security
  • Panda Dome
  • Webroot Secure Anywhere
• macOS
  • AVG
  • BitDefender Total Security
  • Eset Cyber Security
  • Kaspersky Internet Security
  • McAfee Total Protection
  • Microsoft Defender (BETA)
  • Norton Security
  • Sophos Home
  • Webroot Secure Anywhere

  Källa: opennet.ru