تبدیل آنتی ویروس‌ها به یک ابزار خود تخریبگر

به گزارش کارگروه امنیت سایبربان؛ شرکت امنیت سایبری «راک ۹۱۱»  (RACK911 LABS) آمریکا به تازگی اعلام کرد یک آسیب‌پذیری «سیملینک ریس» (Symlink race) را در 28 آنتی‌ویروس محبوب امروزی شناسایی کرده است. با وجود این نام هیچ‌یک از محصولات آسیب‌پذیر ذکر نشده‌اند. سیملینک ریس نوعی نقص امنیتی نرم‌افزاری است که به واسطه برنامه‌های ایجاد فایل به روش‌های نا ایمن به وجود می‌آید.

محققان راک 911 توضیح دادند که باگ یاد شده به هکرها اجازه می‌دهد تا فایل‌های مورد استفاده توسط آنتی‌ویروس یا ویندوز را حذف کنند. در نتیجه این اقدام رایانه کاربر غیرقابل استفاده خواهد شد. آسیب‌پذیری سیملینک ریس زمانی رخ می‌دهد که یک فایل مخرب و سالم به یکدیگر پیوند داده شوند و در پایان اقدامات مخربی روی فایل سالم انجام گیرد. این نقص معمولاً در نتیجه انجام حملات «ترفیع اعتبار» (Elevation-of-Privilege attack) انجام می‌گیرد.

وسلین بانتچف (Vesselin Bontch)، یکی از اعضای آزمایشگاه ملی ویروس شناسی رایانه‌ای در موسسه علوم بلغارستان گفت:

نقص بالا یک مشکل واقعی و قدیمی در سیستم‌عامل‌هایی است که اجازه انجام هم‌زمان فرآیندها را فراهم می‌آورند.

در گزارش راک 911 آمده است که آسیب‌پذیری مذکور از سال 2018 در 28 آنتی‌ویروس‌ها وجود داشته است. این 28 محصول به صورت گسترده در سیستم‌عامل‌ها لینوکس، مک و ویندوز مورد استفاده قرار گرفته و به نظر می‌رسد فروشندگان نیز از وجود آن آگاهی داشته‌اند.

محققان راک 911 توضیح دادند:

بیشتر ارائه‌دهندگان آنتی‌ویروس هم‌اکنون تاکنون نقص سیملینک ریس را برطرف ساخته‌اند. تعدادی نیز وجود آن را هم‌اکنون تأیید کرده یا بدون اعلام گزارش وصله آن را منتشر ساخته و چندین عدد از آن‌ها نیز همچنان اقدامی انجام نداده‌اند.

محققان شرح دادند، آنتی‌ویروس‌ها به علت نوع فعالیتی که دارند در برابر حملات سایبری یاد شده آسیب‌پذیر هستند. به طور معمول یک فاصله زمانی میان اسکن فایل‌ها، شناسایی موارد مخرب و شروع اقدام برای حذف نمونه‌های مخرب وجود دارد. در این حمله هکرها می‌توانند فایل مخرب شناسایی شده را پیش از حذف شدن توسط برنامه با یک فایل سالم جابه‌جا کنند.

تحلیلگران برای نشان دادن آسیب‌پذیری یاد شده تعدادی اسکریپت اثبات مفهوم (proof-of-concept) به وجود آورند که به روش یاد شده از فایل‌های نمادین سیستم‌عامل‌های مختلف سو استفاده می‌کند. در این روش زمانی که آنتی‌ویروس یک فایل مخرب را شناسایی کرده و اقدام به حذف آن می‌کند، به صورت اشتباه یکی از فایل‌های حیاتی خود یا سیستم‌عامل را از بین می‌برد.

بانتچف ادامه داد، طرح اثبات مفهوم ارائه شده توسط محققان راک 911 تنها می‌تواند فایل‌های حیاتی را حذف کند؛ اما این تهاجم خطرناک‌تر خواهد بود اگر هکرها قابلیت بازنویسی فایل را در حملات خود به کار بگیرند. در این حالت به سادگی می‌توان کنترل کامل سیستم قربانی را به دست گرفت.

برای انجام یک حمله سیملینک ریس در دنیای واقعی، هکر ابتدا باید بتواند کد مخرب مورد نظر را روی دستگاه مورد نظر نصب کند. این چیزی نیست که به مهاجمان در نفوذ به سیستم کمک کند؛ اما به افزایش سطح دسترسی آن‌ها به سیستم آلوده می‌انجامد. این مسئله نشان می‌دهد حمله یاد شده را تنها می‌توان به عنوان سطح دوم یک تهاجم مخرب به کار گرفت و در نهایت اقدام به از کار انداختن آنتی‌ویروس یا کل سیستم کرد.