Компания Malwarebytes работает над исправлением серьезных уязвимостей в своем антивирусном продукте. Ошибки обнаружилэксперт из команды Google Project Zero Тэвис Орманди.
Исследователю безопасности удалось выяснить, что обновления продукта Malwarebytes Antivirus не были подписаны с помощью цифровой подписи компании и загружались по незащищенному HTTP-соединению. Все это делает пользователей антивируса подверженным атаке типа Man-In-The-Middle — злоумышленники могли легко подменить пакеты обновлений,
Уязвимости были обнаружены в ноябре 2015 года. Однако сотрудникам Malwarebytes не хватило 90 дней для того, чтобы исправить дыры безопасности в своем продукте, поэтому исследователь Google Тэвис Орманди (Tavis Ormandy) опубликовал информацию о них в своем блоге.
По его словам, процесс обновления антивируса Malwarebytes включает загрузку YAML-файлов. Несмотря на то, что эти файлы содержат контрольную сумму MD5, их передача с помощью незащищенного HTTP-соединения позволяет атакующему легко осуществить подмену файлов.
Орманди предполагает, что разработчики антивируса были уверены в том, что злоумышленникам все равно не удастся перехватить данные, поскольку они зашифрованы с помощью зашитого в коде ключа RC4. Однако, удалось сделать это с помощью простой команды OpenSSL.
Также Орманди обнаружил некорректно составленные контрольные списки (ACL) антивируса — это позволяет осуществить повышение привилегий. По умолчанию, всем пользователям антивируса разрешается модифицировать и создавать файлы в директории, где хранится конфигурация Malwarebytes Antivirus. Это дает злоумышленникам возможность проведения атак, связанных с удаленным исполнением кода на машине жертвы.
Руководитель Malwarebytes Марчин Клещински (Marcin Kleczynski) подтвердил информацию об обнаружении уязвимостей и сообщил, что компания столкнулась со сложностями, которые не позволили исправить их в 90-дневный срок. По словам топ-менеджера, компания смогла исправить несколько из обнаруженных ошибок на стороне сервера и теперь занимается внутренним тестированием новой версии антивируса. Кроме того, Клещински заявил, что по его данным, с помощью обнаруженных Орманди уязвимостей злоумышленники не могут проводить массовые атаки на пользователей Malwerabytes Antivirus. У них есть возможность лишь «атаковать одну машину за один раз».
За последний год это уже не первый случай обнаружения серьезных уязвимостей в защитном программном обеспечении и атак на антивирусные компании. В июне 2015 года в СМИ попала информация о том, что британские и американские спецслужбы искалиуязвимости продуктах «Лаборатории Касперского». Примерно в то же время исследователи из Google Project Zero рассказали о серьезной уязвимости в антивирусе ESET NOD32, которая позволяла атакующему читать, модифицировать и удалять любые файлы на компьютерах, на которых установлен антивирус.
Летом того же года стало известно о том, что в продукте Symantec Endpoint Protection обнаружен целый ряд серьезных уязвимостей, которые позволяли атакующим осуществлять обход аутентификации, повышения привилегий, чтение и запись файлов, а также осуществления SQL-инъекций. Кроме того, практически одновременно с этим было объявлено о том, что антивирусная компания BitDefendet стала жертвой хакерской атаки, в результате которой были похищены пароли пользователей — особый резонанс вызвал тот факт, что они хранились в открытом виде.
Позднее осенью 2015 года серьезные ошибки безопасности были обнаружены в криптософте TrueCrypt, а еще спустя несколько месяцев, в декабре того же года критические уязвимости были также найдены в антивирусе Avast.
Кроме того, осенью прошлого года исследователь безопасности Мазин Ахмед опубликовал исследование, в ходе которого ему удалось обнаружить XSS-уязвимости сразу в нескольких популярных межсетевых экранах. Мы провелили самообучающийся межсетевой экран PT Application Firewall на подверженность описанным в работе обходам защиты — все представленные способы обхода были заблокированы экраном.
Евросоюз утвердил 21-й пакет санкций против России — под ограничения попали сразу 94 банка, Московская биржа и несколько платёжных организаций. Финансовый сектор получил внушительный чёрный список, но его участники хором отвечают: работаем как обычно.
С 23 июля санкции действуют против Россельхозбанка, «Дом.рф», «МТС-банка», «Ак Барса», «Уралсиба», «Зенита», «Абсолют банка», WB Банка, Ozon Банка, «Точки», «Яндекс Банка», «Почта Банка» и других организаций.
В список также включили НКО «Мобильная карта» и РНКО «Платёжный Центр».
Персональные ограничения затронули зампреда Банка России Сергея Белова, главу РЖД Олега Белозёрова и других лиц. Кроме финансов, новый пакет касается энергетики, торговли и криптовалют.
Московская биржа заявила, что торги и расчёты продолжатся без изменений. Ozon Банк, «Точка» и «Финам» тоже заверили клиентов, что сервисы и платежи работают в штатном режиме. Брокер «Финам» под санкции не попал. АФК «Система» назвала решение ЕС незаконным и пообещала справиться с ограничениями.
Однако первые неудобства уже появились. Платёжная система «Золотая Корона» остановила переводы в Грузию и ряд других стран: в поддержке подтвердили, что некоторые направления временно недоступны.
Следующим сюрпризом может стать исчезновение банковских приложений из App Store и Google Play. Ранее после санкций из магазинов уже удаляли приложения российских банков и VK. Пока это лишь вероятный сценарий, но владельцам затронутых банков лучше не спешить удалять установленные приложения.
В российской миссии при ЕС предупредили об адекватном ответе.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
