IT業界資訊媒體

【估你唔到】一個作業系統基本功能 廢盡防毒軟件武功

RACK911 Labs 安全研究人員揭露,佢哋發現幾乎所有防毒軟件都存在安全漏洞,令惡意軟件有可能反過嚟阻止軟件防毒功能,甚至廢咗成個操作系統嘅武功,連港人常用嘅 Kaspersky、McAfree、Microsoft Defender 都係名單之上。(詳細名單見內文)

大多數防毒軟件都會實時掃描硬碟入面嘅檔案,如果掃到有可疑嘅檔案存在,就會送去安全位置隔離或者直接刪除。研究人員就指出,問題就出喺由掃描文件到落實處理之間一段好短時間嘅空隙,加上呢類操作基本上要有系統最高權限先可以執行,變相就會形成咗缺口,大開中門以致出現安全漏洞同埋競爭條件(即係出現多個無時序嘅訊號,可以令程式不受控制),惡意程式就可以利用呢啲漏洞,乘機盜用特權,停止操作系統嘅保安同運作功能。

要驗證相關嘅漏洞存在,研究人員就提出只要利用 Windows 嘅目錄連接(Directory Junction)、以及 macOS 及 Linux 嘅符號連接(Symbolic Link),就足以令防毒軟件變成中毒陷阱。先講 Windows,因為 Windows 本身就存在一個唔需要高級權限就可以創建連接目錄嘅功能,惡意程式可以輕鬆利用呢個功能去同防毒軟件嘅安裝目錄創建連接,共通檔案內容,進而修改或刪除入面嘅檔案。研究人員以 McAfee Endpoint Security 做實驗,結果成功删除防毒軟件嘅檔案,干擾防毒效能。呢招應用喺其他 Windows 防毒軟件上,幾乎都可以攻破。(詳情可睇以下片段)

至於Linux 同 macOS方面,同樣係利用非特權用戶都用到嘅符號鏈接功能。研究人員今次以 Kaspersky 嘅Internet Security 進行測試,喺防毒軟件偵測到惡意軟件同嘗試去清理嘅時候,研究員利用當中 6 至 8 秒嘅時滯製造競爭條件狀態,繼而就進行遙距刪除檔案,癱瘓軟件嘅運作能力。

​喺 RACK911 Labs 嘅測試當中,無論係 Windows、macOS 定係Linux,佢地都可以輕鬆刪走防毒軟件相關嘅重要檔案,令軟件失效,導致嚴重損壞,一定要重新裝過先可以用得返。佢哋更加發現真空期嘅時間長短唔係問題,只要以簡單嘅 loop 指令就可不停利用呢個漏洞。而喺特定情況下,入侵者直情可以更改文件閱讀權限,或者直接改變擁有權,去提升惡意軟件嘅帳戶權限。

係咪好驚呢!但原來團隊話自從 2018 年秋季開始已發現相關漏洞兼聯絡各個供應商,大部分都修補咗呢個漏洞,至於其他未有動靜嘅,就希望喺今次公開資料後,可以令對方盡快修補呢個安全漏洞啦。

資料來源:https://bit.ly/3aSJaM8

相關文章:【攞多咗】16億人用緊 免費防毒軟件緊急移除