{"id":196257,"date":"2017-11-13T00:16:00","date_gmt":"2017-11-12T23:16:00","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=196257"},"modified":"2024-08-12T13:05:07","modified_gmt":"2024-08-12T11:05:07","slug":"designfehler-in-antivirus-produkten-bedroht-sicherheit","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2017\/11\/13\/designfehler-in-antivirus-produkten-bedroht-sicherheit\/","title":{"rendered":"Designfehler in Antivirus-Produkten bedroht Sicherheit"},"content":{"rendered":"

[English<\/a>]Ein Designfehler in verschiedenen Antivirus-Produkten erm\u00f6glicht Malware oder lokalen Angreifern den Missbrauch der Funktion \"Restore von Quarant\u00e4ne\". Bereits gefundene Malware kann so in sensitive Bereiche des Betriebssystems verschoben werden, um Neustarts zu \u00fcberstehen und erh\u00f6hte Privilegien zu erlangen.<\/p>\n

<\/p>\n

\"\"Florian Bogner, ein Sicherheitsauditor des \u00f6sterreichischen Cybersicherheitskonzerns Kapsch, entdeckte den Fehler, den er unter dem Codenamen AVGater verfolgt. Bogner hat wohl die betroffenen Firmen informiert, wobei diese ihre Sicherheitsl\u00f6sungen teilweise aktualisiert haben. Die Erkenntnisse hat Bogner in diesem Blog-Beitrag<\/a> ver\u00f6ffentlicht.<\/p>\n

Die Grundlagen<\/h2>\n

Die folgende Abbildung zeigt das Innenleben eines typischen AV-Produkts aus Sicht eines unprivilegierten Benutzers. Es gibt drei verschiedene Zugriffsdom\u00e4nen: Der Kernel-Modus, der privilegierte Benutzermodus (SYSTEM) und der unprivilegierte Benutzermodus. Wie das folgende Bild zeigt, haben die verschiedenen Komponenten sehr unterschiedliche Aufgaben:<\/p>\n

\"AV-Module
\n(Quelle: Bogner)<\/p>\n

Im Kontext des unprivilegierten Benutzers gibt es nur die AV-Benutzeroberfl\u00e4che. Sie allein hat keine wirkliche Macht, weil sie innerhalb einer begrenzten Benutzersitzung ausgef\u00fchrt wird. Durch Kommunikation mit dem Windows Dienst des AV-Programms kann die Benutzeroberfl\u00e4che jedoch viele Dinge tun, die einem normalen Benutzer von den Berechtigungen her verwehrt sind. Zum Beispiel kann es erlaubt sein, Dateien aus der Virus-Quarant\u00e4ne wiederherzustellen.<\/p>\n

Und dann gibt es zus\u00e4tzlich eine Kernel-Komponente, die die eigentliche Arbeit, Objekte auf bekannte Bedrohungsidentifikatoren zu \u00fcberpr\u00fcfen, erledigt und damit alle Berechtigungen ben\u00f6tigt.<\/p>\n

AVGator nutzt das geschickt aus<\/h2>\n

Die spannende Frage ist, ist ein Angriffsszenario denkbar, welches die Restaurierung von Dateien in Quarant\u00e4ne ausgenutzt werden, um erkannte Malware ins System einzuschleusen \u2013 und dies, obwohl der Benutzer keine Privilegien besitzt? Bogner hat dazu folgende Video ver\u00f6ffentlicht.<\/p>\n

(Quelle: YouTube<\/a>)<\/p>\n

Wie im obigen Video zu sehen ist, kann der #AVGater verwendet werden, um eine zuvor in Quarant\u00e4ne befindliche Datei an einem beliebigen Speicherort des Dateisystems wiederherzustellen. Dies ist m\u00f6glich, weil der Restore-Prozess meist durch den privilegierten AV Windows-Benutzermodusdienst ausgef\u00fchrt wird.<\/p>\n

Auf diese Weise k\u00f6nnen Dateisystem-ACLs umgangen werden (da sie f\u00fcr den SYSTEM-Benutzer nicht wirklich z\u00e4hlen). Diese Art von Problemen wird als privilegierte Datei-Schreibschwachstelle bezeichnet und kann verwendet werden, um eine b\u00f6sartige DLL \u00fcberall auf dem System zu platzieren. Das Ziel ist es, diese Bibliothek f\u00fcr einen legitimen Windows-Server durch Missbrauch der DLL-Search-Order<\/a> zu laden. Klappt dies, kann die DLL mittels des DLLMain entry point<\/a> geladen und ausgef\u00fchrt werden.<\/p>\n

Aber eine sehr wichtige Frage bleibt noch offen: Wie kann man den Restore-Prozess manipulieren? Die L\u00f6sung sind NTFS-Verzeichnis-Junktions. Dies sind im Grunde symbolische Links f\u00fcr Verzeichnisse, die von jedermann mit Hilfe von mklink<\/em> erstellt werden k\u00f6nnen. Durch den Missbrauch der NTFS-Verzeichnis-Junktions kann der Prozess der AV-Quarant\u00e4ne-Wiederherstellung manipuliert werden. Damit lassen sich zuvor unter Quarant\u00e4ne befindliche Dateien in beliebige Dateisystem-Speicherorte schreiben. Mit diesem Wissen l\u00e4sst sich ein komplettes Angriffsszenario konstruieren.<\/p>\n