#AVGater: Уязвимость антивирусов используется для распространения угроз через карантин

Несколько антивирусных решений из-за ошибки проектирования движка оказались подвержены уязвимости, которая позволяет вредоносным программам или локальными злоумышленникам получать доступ к функции “восстановление из карантина” с целью размещения ранее обнаруженных угроз в критически важных системных зонах операционной системы. Таким образом, вредоносная программа может прописаться в автозагрузке и получить повышенные привилегии.

Эксперт по компьютерной безопасности из австрийской компании Kapsch, Флориан Богнер, обнаружил данную уязвимость и присвоил ей кодовое имя AVGater.

Некоторые вендоры выпустили обновления

Богнер заявил, что он проинформировал все антивирусные компании, чьи продукты оказались подвержены уязвимости. После того, как некоторые вендоры выпустили обновления, эксперт опубликовал свои исследования.

Уязвимость была устранена в решениях Trend Micro, Emsisoft, “Лаборатории Касперского”, Malwarebytes, Ikarus и Zone Alarm от Check Point.

Богнер утверждает, что остальные компании выпустят патчи в ближайшие дни и не исключает, что движки, которые не были протестированы, также могут быть уязвимыми.

Как работает AVGater

Чтобы понять, как работает уязвимость, рассмотрим сценарий успешной эксплуатации:

1. Компьютер пользователя инфицируется вредоносной программой.
2. Антивирусный движок обнаруживает угрозу.
3. Антивирус отправляет вредоносную программу в карантин.
4. Локальный злоумышленник без прав администратора запускает эксплойт на уязвимой системе. Код эксплойта использует точки соединения NTFS для изменения расположения файла, добавленного в карантин.
5. Злоумышленник запускает операцию “Восстановление из карантина”.
6. Зараженный файл отправляется в свое расположение, но точка соединения NTFS передает этот файл в папку внутри C:\Windows. Пользователь, не являющийся администратором, не может копировать файлы внутри этой папки, но антивирусные программы работают под привилегиями SYSTEM, а это означает, что файл, восстановленный из карантина, будет отправлен в системную папку без отображения ошибок или предупреждений.
7. Некоторые службы Windows или основные процессы используются для для загрузки/запуска всех DLL-файлов, хранящихся в определенных каталогах Windows. Поэтому, когда пользователь перезагрузит свой компьютер, файл из карантина будет запущен как часть службы Windows или приложения из белого списка.

Таким образом, атака позволяет не только прописать вредоносную программу в автозагрузке, но и получить повышенные привилегии. Однако, злоумышленнику требуется физический доступ к уязвимой машине, что является серьезным ограничением.

Тем не менее, существуют сценарии, в которых AVGater может оказаться опасным, например, в офисах организаций, образовательных или правительственных учреждениях, где пользователи совместно используют компьютеры, в банкоматах на базе Windows и т.д.

Богнер сообщает, что пользователи могут предотвратить атаки AVGater с помощью регулярного обновления антивирусных продуктов. В корпоративных средах рекомендуется заблокировать возможность восстановления файлов из карантина.