Эксперты выявили дыры во многих антивирусах (Kaspersky, Avira, Symantec)

Исследователи в области безопасности из CyberArk Labs выявили уязвимости в популярных антивирусных продуктах. В случае успешной эксплуатации эти бреши позволяют атакующим повысить права в системе.

Поскольку антивирусы работают с повышенными привилегиями, изъяны в их коде могут быть особенно опасными. Вредоносные программы, эксплуатирующие такие дыры, способны не только обойти защитные решения, но и прочно укрепиться в атакуемой системе.

По словам экспертов CyberArk Labs, множество популярных антивирусов можно использовать в атаках с помощью техники манипуляции файлами. Среди затронутых продуктов исследователи отметили антивирусы от Kaspersky, McAfee, Symantec, Fortinet, Check Point, Trend Micro, Avira и Microsoft Defender.

К счастью, на сегодняшний день разработчики уже избавились от опасных лазеек для злоумышленников, однако всё равно полезно будет узнать, с чем мы имели дело.

Как объяснили специалисты, основной причиной являются права по умолчанию директории C:\ProgramData. Эту папку приложения используют для хранения данных, при этом любой пользователь в системе может читать и записывать в этот каталог.

«Логично, что процессы и службы, не привязанные к конкретному пользователю, будут использовать директорию ProgramData. Именно поэтому права на неё настроены таким образом, что любой пользователь может читать и записывать туда, но здесь же есть и брешь — атакующий может удалить определённые файлы из таких папок», — пишут в отчёте эксперты.

Таким образом, злоумышленник может использовать привилегированный процесс для удаления файла и создания символической ссылки на другой произвольный вредоносный файл.

Также исследователи сообщили об уязвимости перехвата DLL в антивирусных продуктах Trend Micro и Fortinet. В этом случае атакующий может «подсунуть» вредоносную DLL в директорию нужного приложения и выполнить её с повышенными правами.

Полный список выявленных проблем безопасности выглядит так:

Kaspersky — CVE-2020-25045, CVE-2020-25044, CVE-2020-25043
McAfee — CVE-2020-7250, CVE-2020-7310
Symantec — CVE-2019-19548
Fortinet — CVE-2020-9290
Checkpoint — CVE-2019-8452
Trend Micro — CVE-2019-19688, CVE-2019-19689 +3
Avira — CVE-2020-13903
Microsoft — CVE-2019-1161

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Татьяна Никитина 08 Октября 2025 - 20:17

Windows Трояны Домашние пользователи

Троян Shuyal Stealer ворует данные из 19 браузеров и исчезает без следа

В ИБ-компании Point Wild проанализировали образец Windows-стилера Shuyal, объявившегося в июле, и обнаружили внушительный список целевых браузеров — 19 наименований, в том числе Яндекс Браузер и Tor.

Свое имя написанный на C++ зловред (детектится на VirusTotal с результатом 48/72 по состоянию на 8 октября) получил по найденному в экзешнике идентификатору. От собратьев новобранец отличается не только большим количеством целей, но также умением заметать следы.

После запуска Shuyal Stealer прежде всего выполняет глубокое профилирование зараженной системы с помощью WMI: собирает данные жестких дисков (модель, серийный номер), подключенной клавиатуры (включая ID), информацию о настройках монитора, чтобы выстроить стратегию кражи данных сообразно конкретным условиям.

Троян также прибивает Диспетчер задач, способный выдать запуск вредоносных процессов, и прописывается в системе на автозапуск.

Кража данных осуществляется с помощью скриптов PowerShell. При этом зловреда интересует следующая информация:

сохраненные в браузере учетки, куки и история посещения сайтов;
содержимое буфера обмена;
токены аутентификации из Discord, Discord Canary и Discord PTB.

Инфостилер также умеет делать скриншоты, чтобы добавить контекст к украденным данным.

Вся добыча вместе с журналом вредоносной активности (history.txt) помещается в директорию runtime, специально создаваемую в папке временных файлов. Для эксфильтрации ее содержимое архивируется (runtime.zip) и затем отсылается в телеграм-бот, который Shuyal находит по вшитому ID.

Завершив кражу и вывод данных, Shuyal пытается стереть все следы своего присутствия в системе с помощью скрипта util.bat.