Ο Or Yair, ένας ερευνητής ασφάλειας στην SafeBreach, δημοσίευσε ένα proof-of-concept (POC) που δείχνει πώς μπορείτε να εξαπατήσετε antivirus για να διαγράψουν οριστικά αβλαβή αρχεία στον υπολογιστή σας.
Το POC ονομάζεται “Aikido” και είναι εμπνευσμένο από την ιαπωνική πολεμική τέχνη που χρησιμοποιείται για να στρέφει τις επιθετικές κινήσεις των αντιπάλων εναντίον του ίδιου τους του εαυτού.
Το PoC μας δείχνει χωρίς αμφιβολία ότι το Aikido wiper λειτουργεί. Η Microsoft έχει ήδη αναγνωρίσει το exploit στον Defender και έχει επιδιορθώσει την ευπάθεια.
Όμως υπήρχαν κι άλλοι κατασκευαστές λογισμικού προστασίας όπως οι Avast, AVG και TrendMicro που ήταν ευάλωτοι σε αυτό το exploit. Άλλες δημοφιλείς λύσεις όπως το McAfee και το BitDefender δεν επηρεάζονται.
Ακολουθεί η πλήρης λίστα των ελεγμένων προϊόντων.
Ο Yair αναφέρει ότι το Aikido wiper χρησιμοποιεί μια ευπάθεια που ονομάζεται time-of-check to time-of-use (TOCTOU).
Είναι μια λύση προστασίας από ιούς που πρώτα εντοπίζει και προσδιορίζει ένα αρχείο σαν κακόβουλο και στη συνέχεια το διαγράφει.
Το Aikido χρησιμοποιώντας το TOCTOU χρησιμοποιείται για την εισαγωγή μιας εναλλακτικής διαδρομής μετά τον εντοπισμό του κακόβουλου λογισμικού που οδηγεί στη διαγραφή κανονικών αρχείων αντί των κακόβουλων. Ακόμη και τα αρχεία συστήματος θα μπορούσαν να διαγραφούν οριστικά.
Στην περίπτωση των Defender και Defender για Endpoint, ο Yair παρατήρησε ότι το Defender δεν διέγραψε αρχεία, αλλά φακέλους. Η Microsoft καταχώρησε σαν αναγνωριστικό της ευπάθειας το “CVE-2022-37971” και επιδιόρθωσε το κενό ασφαλείας στην τελευταία έκδοση 1.1.19700.2 του Microsoft Malware Protection Engine.
Εν τω μεταξύ, οι TrendMicro, Avast και AVG κυκλοφόρησαν επίσης ενημερώσεις για τα προϊόντα τους:
TrendMicro Apex One: επείγουσα επιδιόρθωση 23573 & Patch_b11136
Avast & AVG Antivirus: 22.10
Μπορείτε να βρείτε περισσότερες λεπτομέρειες για το Akido Wiper και το exploit στον επίσημο ιστότοπο της SafeBreach εδώ. Το Akido Wiper POC παρουσιάστηκε στο πρόσφατο συνέδριο ασφαλείας Black Hat Europe 2022. Έτσι μπορείτε να βρείτε περισσότερες πληροφορίες εδώ.
Ο Γιώργος ακόμα αναρωτιέται τι κάνει εδώ….
