Các nhà nghiên cứu an ninh mạng gần đây đã tiết lộ thông tin chi tiết về một loạt lỗ hổng bảo mật xuất hiện trên các phần mềm diệt virus phổ biến. Được biết những lỗi bảo mật này cho phép kẻ tấn công leo thang đặc quyền, từ đó giúp mã độc duy trì xâm nhập trên hệ thống bị nhiễm độc.
Theo một báo cáo do CyberArk Labs công bố ngày hôm qua, các đặc quyền cao thường được liên kết với các phần mềm diệt mã độc. Do đó, chúng dễ bị ảnh hưởng hơn bởi các cuộc tấn công thao túng file, cuối cùng dẫn đến việc mã độc giành được đặc quyền cao hơn trên hệ thống.
Những lỗi bảo mật trên đã ảnh hưởng đến một loạt phần mềm diệt vi-rút phổ biến hiện nay như Kaspersky, McAfee, Symantec, Fortinet, Check Point, Trend Micro, Avira, và Microsoft Defender. Tuy nhiên, nó đã nhanh chóng được khắc phục bởi các nhà cung cấp phần mềm.
Nghiêm trọng nhất trong số các lỗ hổng trên là một lỗi có khả năng xóa file từ các vị trí tùy ý và cho phép kẻ tấn công xóa bất kỳ file nào trên hệ thống, cùng với một lỗi xáo trộn file (file corruption) có thể cho phép kẻ tấn công loại bỏ nội dung của bất kỳ file nào trên hệ thống.
Theo CyberArk, các lỗ hổng này bắt nguồn từ các DACL mặc định (Discretionary Access Control Lists – Danh sách điều khiển truy cập tùy quyền) cho thư mục “C:\ProgramData” của Windows. Nó cho phép người dùng tiêu chuẩn (standard users) lưu trữ dữ liệu mà không yêu cầu quyền truy cập bổ sung.
Lợi dụng thực tế là mọi người dùng đều có quyền ghi và xóa ở cấp độ cơ sở của thư mục, kẻ tấn công đã thực hiện leo thang đặc quyền khi một tiến trình không đặc quyền (non-privileged process) tạo một thư mục mới trong “ProgramData” và được truy cập sau đó bởi một tiến trình đặc quyền (privileged process).
AntivirusVulnerabilityKaspersky Security CenterCVE-2020-25043, CVE-2020-25044, CVE-2020-25045McAfee Endpoint Security and McAfee Total ProtectionCVE-2020-7250, CVE-2020-7310Symantec Norton Power EraserCVE-2019-1954Fortinet FortiClientCVE-2020-9290Check Point ZoneAlarm and Check Point Endpoint SecurityCVE-2019-8452Trend Micro HouseCall for Home NetworksCVE-2019-19688, CVE-2019-19689, and three more unassigned flawsAviraCVE-2020-13903Microsoft DefenderCVE-2019-1161
Trong một trường hợp khác, các nhà nghiên cứu quan sát thấy hai process khác nhau – một process đặc quyền và process còn lại hoạt động như một người dùng cục bộ xác thực – có cùng một log file giống nhau. Từ đó cho phép kẻ tấn công khai thác process đặc quyền để xóa các file và tạo một liên kết tượng trưng mà có thể dẫn tới các file tùy ý có chứa nội dung độc hại của kẻ tấn công.
Sau đó, các nhà nghiên cứu của CyberArk cũng phát hiện thêm kẻ tấn công hoàn toàn có khả năng tạo một thư mục mới trong “C:\ProgramData” trước khi một process đặc quyền được thực thi.
Bằng cách đó, khi trình cài đặt phần mềm diệt vi-rút McAfee được chạy sau khi tạo thư mục “McAfee”, người dùng tiêu chuẩn sẽ có toàn quyền kiểm soát thư mục, và cho phép người dùng cục bộ (local user) giành được đặc quyền cao hơn trên hệ thống bằng cách thực hiện một cuộc tấn công liên kết tượng trưng (symlink attack).
Ngoài ra, một lỗ hổng chiếm quyền điều khiển DLL trên Trend Micro, Fortinet và một số phần mềm diệt vi-rút khác có thể đã bị kẻ tấn công khai thác để cài một file DLL độc hại vào thư mục ứng dụng và tấn công leo thang đặc quyền.
Trong báo cáo của mình CyberArk đã nhấn mạnh sự cần thiết của việc cập nhật các khung cài đặt để giảm thiểu tối đa các cuộc tấn công DLL Hijacking. Đồng thời, công ty này cũng khuyến nghị nên hạn chế danh sách kiểm soát truy cập để tránh bị ảnh hưởng bởi các lỗ hổng xóa tùy ý (arbitrary delete vulnerabilities).
Mặc dù những lỗi bảo mật này đã được giải quyết, nhưng nó chính là “hồi chuông cảnh tỉnh” về những điểm yếu còn tồn tại trên phần mềm, bao gồm cả những phần mềm diệt vi-rút. Những phần mềm này có thể vô tình trở thành cầu nối cho mã độc xâm nhập vào hệ thống.
“Hệ quả của những lỗ hổng này thường là leo thang đặc quyền toàn bộ trên hệ thống,” các nhà nghiên cứu của CyberArk cho biết. “Do các sản phẩm bảo mật thường yêu cầu nhiều đặc quyền cao, nên chỉ cần một lỗi trên những sản phẩm này cũng có thể khiến mã độc duy trì xâm nhập lâu dài trên hệ thống và gây ra nhiều thiệt hại cho tổ chức.”
Thêm bình luận