AVGater: popularne antywirusy podatne na atak – jak się zabezpieczyć?

Znaleziskiem podzielił się na swoim blogu Florian Bogner, audytor w austriackim Kapsch. Sprawa jest całkiem poważna, gdyż dotyczy najpopularniejszych programów antywirusowych, zaś sam zainfekowany plik może zyskać, z wykorzystaniem procedury kwarantanny i linków symbolicznych NTFS, uprawnienia, jakimi dysponuje sam antywirus.

Do ataku może dojść po przeniesieniu złośliwego pliku do kwarantanny. Gdy zostanie on już odizolowany, w jego miejscu atakujący może zostawić dowiązanie symboliczne, czyli plik przekierowujący do innej lokalizacji. Dowiązania takie są w NTFS-ie wykorzystywane od czasów Windowsa 2000 także jako dowiązania katalogów. Po utworzeniu dowiązania, a następnie przywróceniu pliku z kwarantanny, możliwe jest przekierowanie go do dowolnej innej lokalizacji na dysku twardym ofiary i wykonane z najwyższymi uprawnieniami.

Przed podatnością AVGater można się chronić. Bogner poinformował, że firmy Trend Micro, Emsisoft, Kaspersky Lab, Malwarebyets, Check Point (ZoneAlarm) i Ikarus udostępniły już aktualizacje zabezpieczające przed wykorzystaniem dowiązań symbolicznych – ich użytkownikom zalecamy aktualizację oprogramowania antywirusowego. Użytkownik innych programów antywirusowych zalecamy natomiast wstrzymanie się do czasu aktualizacji z przywracaniem plików z kwarantanny.