URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 120397
[ Назад ]
Исходное сообщение
"Большинство антивирусов подвержены атаке через символические..."
Отправлено opennews , 21-Апр-20 12:49 
Исследователи из компании RACK911 Labs обратили внимание на то, что почти все антивирусные пакеты для Windows, Linux и macOS были уязвимы для атак, манипулирующих состоянием гонки (race conditions) во время удаления файлов, в которых обнаружено вредоносное ПО...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=52779

Содержание
Сообщения в этом обсуждении
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 12:57 
Речь идёт о символьных ссылках, а не указателях на ячейки памяти, то есть кривописатели не проверяют, ссылка ли перед ними аль файл, поэтому вопросы все к кривописателям, а не языку программирования.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено gogo , 21-Апр-20 20:35 
Тролль. Не кормите его )
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено КО , 21-Апр-20 12:59 
Как страшно жить...
Веба как всегда в списке нет ну и поф.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Tita_M , 21-Апр-20 13:43 
Нет потому что не уязвим? Или потому что не популярен?
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Она их , 21-Апр-20 14:09 
Все антивирусу - это от лукавого. Полная фигня.
Забросил эту ахинею несколько лет назад, не установлено ни одного АВ. Никакой разницы нет. Что с ним не знал, где люди вирусы берут, что без него. А некоторые дебилоиды по несколько установят и сидят корячатся. И все равно умудряются поймать трипе... вирусняк.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 22-Апр-20 06:20 
> Все антивирусу - это от лукавого. Полная фигня.
> Забросил эту ахинею несколько лет назад, не установлено ни одного АВ. Никакой
> разницы нет. Что с ним не знал, где люди вирусы берут,
> что без него. А некоторые дебилоиды по несколько установят и сидят
> корячатся. И все равно умудряются поймать трипе... вирусняк.

Ну, судя по тому, что "В Linux и macOS показано как таким способом непривилегированный пользователь может удалить /etc/passwd или любой другой системный файл" в данном случае эти антивирусы не только бесполезны, но ещё и вредны, с ними ещё хуже выходит.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Z , 21-Апр-20 16:44 
Они запрещают тестирование и публикацию результатов тестирования со своим антивирусом
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:03 
Так тут не о тестировании речь.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено bOOster , 26-Апр-20 16:17 
Че за чушь???
"Большинство антивирусов подвержены атаке через символические..."
Отправлено Аноним , 21-Апр-20 13:07 
Касперский все равно что McAffee, и ничего он не защищает, а вот взлом Касперского, когда я стдел на Винде было уже несколько раз! Причем, те дыры, которые есть в Винде, позволяют с легкостью отключить Касперский из трея. Да и обновления базы Касперского ничего не дают, плохо они справляются с поиском вирусов. В основном удаляют те файлы, которые не содержат вирус. А зараженные вылечить не в состоянии.
"Большинство антивирусов подвержены атаке через символические..."
Отправлено Tita_M , 21-Апр-20 13:59 
У Касперского нужно настройки паролем защищать к тому же у них вроде даже нету защиты от эмуляции действий пользователя, т.е. через всякие программы удалённого доступа можно отключить антивирус. Мне нравиться как сделано в Доктор Вебе. Там чтобы изменить настройки нужно перейти в программе в специальный режим администратора, т.е. нужно знать пароль от админа компьютера так что пользователь машины если он работает под юзерской учёткой не сможет отключить антивирус или изменить настройки в отличие от Касперского. Плюс к этому имеются стандартная парольная защита и запрет на эмуляцию действий пользователя.
"Большинство антивирусов подвержены атаке через символические..."
Отправлено Timoteo Cirkla , 21-Апр-20 15:21 
На самом деле нет. При любом удалённом доступе кошмарский недоступен для того, кто подключился к компьютеру удалённо.
"Большинство антивирусов подвержены атаке через символические..."
Отправлено Tita_M , 21-Апр-20 18:15 
А каким образом тогда его удалённо отключают всякие жулики? Не понимаю.
"Большинство антивирусов подвержены атаке через символические..."
Отправлено и.о.К.О. , 21-Апр-20 19:24 
Для жуликов у касперского есть специальное API.
"Большинство антивирусов подвержены атаке через символические..."
Отправлено annual slayer , 23-Апр-20 05:00 
доступное по премиальной подписке для разработчиков
"Большинство антивирусов подвержены атаке через символические..."
Отправлено Она их , 21-Апр-20 14:04 
Взломать можно всё! На каждый антивирус найдётся свой буравчик.
"Большинство антивирусов подвержены атаке через символические..."
Отправлено псевдонимус , 21-Апр-20 19:05 
Касперский это как женские лобковые волосы: прикрывает, но не защищает :-)

А вообще абсолютно любой антивирус является трояном.

"Большинство антивирусов подвержены атаке через символические..."
Отправлено Аноним , 21-Апр-20 20:50 
Даешь крестовые походы против антивирусов!
"Большинство антивирусов подвержены атаке через символические..."
Отправлено и.о.К.О. , 21-Апр-20 19:23 
>Причем, те дыры, которые есть в Винде, позволяют с легкостью отключить Касперский из трея.

К чему эти сложности, касперский отлично отключается через его собственные дыры.

"Большинство антивирусов подвержены атаке через символические..."
Отправлено Аноним , 21-Апр-20 20:49 
Каспер сливает данные ФCБ, а Макафи АНБ. Выбирай из многих сортов, сынок.
"Большинство антивирусов подвержены атаке через символические..."
Отправлено Аноном , 22-Апр-20 00:50 
Каспер не такой клёвый и пищит как свинья, выбор очевиден: https://www.youtube.com/watch?v=bKgf5PaBzyg (всё равно они _все_ плюс минус бесполезны, этот хотя бы всегда стильный интерфейс имел).
"Большинство антивирусов подвержены атаке через символические..."
Отправлено Аноним , 21-Апр-20 13:09 
Никто и не смнивался, что в антивирусной отрасли большинство "сапожников без сапог". Ещё нужно хорошо взвесить, что важнее защита от вирусов или угрозы от компрометации антивирусного ПО.
"Большинство антивирусов подвержены атаке через символические..."
Отправлено КО , 21-Апр-20 13:24 
Важнее лишняя производительность
"Большинство антивирусов подвержены атаке через символические..."
Отправлено Аноним , 21-Апр-20 14:46 
Некоторые антивирусные решения предполагают, что компьютер пользователя предназначен только для поиска и удаления вирусов.
"Большинство антивирусов подвержены атаке через символические..."
Отправлено Аноним , 21-Апр-20 16:35 
Чем медленнее работает браузер тем меньше вирусов им получится скачать.
"Большинство антивирусов подвержены атаке через символические..."
Отправлено Аноним , 21-Апр-20 16:43 
В этом плане современные браузеры достаточно защищены, чтобы обходиться без антивирусов.
"Большинство антивирусов подвержены атаке через символические..."
Отправлено Лол , 21-Апр-20 18:15 
Вирусы то как-раз накачаются в фоне, а юзер даже зависшим курсором пошевелить не сможет чтоб что-то сделать. Так себе секьюрность🤣🤣🤣
"Большинство антивирусов подвержены атаке через символические..."
Отправлено getfr , 23-Апр-20 13:10 
юзер может всегда выдернуть вилку из розетки. И пусть качаются после этого.
После выключения отрубаются устройства коммуникации и чистится
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено нона , 21-Апр-20 13:34 
Тоже новость, security продуктами управляют самые хитропопые продажники. Качество соответствующее. На внутрянки всяких WAF без слез нельзя смотреть.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 13:42 
Так если продажи итак идут зачем им заморчиваться?
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 14:47 
Нормальная убогая логика старого компьютерщика: работает - не тронь.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено mfa , 21-Апр-20 15:11 
ненормальная логика малолетнего дебила - построить неработающее вместо сломанного работающего.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 17:21 
Как раз не малолетнего. Малолетние по всей Америке коболистов ищут.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:06 
Ну-ка, покажи фотку столба с объявлением о поиске в качестве пруфа.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 19:44 
Гугель - поиск - кобол сша
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 21:33 
Там чё-то жёлтое без ссылок на источники. Ты столб, столб покажи.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 16:17 
Зачем ломать то что работает? Только потому что ты молодой "компьюторщик?"
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 17:48 
Это недостаточная причина?
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 16:34 
Этот твой антипаттер называется "преждевременная оптимизация" можешь погуглить что это значит.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 17:57 
Кнут? Так там и сказано - старого компьютерщика. А чтобы решиться всё сломать, когда перспектива работающего (пока что) решения туманна и сделать заново - надо быть Джобсом, Королёвым, Лавочкиным.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:11 
Предположим, у тебя математическая библиотека на фортране. Твои действия? Оставить как есть или переписать на С? 20 000 строк на С (без хедеров) - это реально много.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:49 
Сам с собой ведешь беседу? Но ответ такой ничего не трогать пока работает. Перестало работать/поддерживаться/что_угодно/упало_в_проде начинаешь переписывать до этого ничего не трогаешь.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 22:08 
Предположим библиотека или предположим на фортране? С какой целью ты собираешься переписывать на медленном языке то, прекрасно работает на быстром?
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Michael Shigorin , 22-Апр-20 14:54 
> А чтобы решиться всё сломать [...] - надо быть Джобсом

Вот уж кого не жалко -- так это человека, угробившего запасы индия на планете почём зря.  Повторю вчерашнюю ссылочку до кучи: http://youtu.be/SbmgV7Oyp0w

> Королёвым, Лавочкиным.

Вы бы ещё Гейтса в тот же ряд посадили, хам.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Урри , 21-Апр-20 16:55 
Леня, перелогиньтесь.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Anonymouse , 21-Апр-20 13:36 
ADinf32 не подвержен, пронесло
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено ффф , 21-Апр-20 15:37 
Adinf не антивирус, а дисковый монитор. А вот aidstest - антивирус :)
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено тигар , 21-Апр-20 22:43 
ухты. олдафги в треде.
жили у бабуси три веселых гуся - лоз, данилов и касперский, я от них тащууууся
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 22-Апр-20 00:00 
Лозинский - дуб, аидстест - горбуха!
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 13:39 
Красиво
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено ryoken , 21-Апр-20 13:40 
Как ни смешно, а G-Data в списке дуршлагов не нашёл :D.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 16:45 
Самые безопасные — антивирусы Попова и Бабушкина. На них ни одного CVE нет!
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Лол , 21-Апр-20 18:17 
лучший антивирус это хоть изредка включающийся мозг.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено ryoken , 22-Апр-20 08:27 
> лучший антивирус это хоть изредка включающийся мозг.

так щас народ им не комплектуют

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено vitalif , 21-Апр-20 13:45 
Офигеть, сколько антивирусов под линукс существует, а мужики-то не знают!

То есть ClamAV оказался единственным, кто нормально себя ведёт?

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 14:36 
Нет, просто он не умеет мониторить ФС, поэтому ничего автоматом не удаляет.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 22-Апр-20 05:11 
А нахрена ее мониторить? Искать винчих в /usr/bin? Задача антивирусов под Linux - мониторить файлопомойки, которыми пользуются несчастные пользователи винды. Хук на аплоад по http/ftp/smb всегда можно повесить.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 22-Апр-20 10:09 
> А нахрена ее мониторить?

ХЗ, ФСТЭК говорит — надо.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Michael Shigorin , 22-Апр-20 14:56 
>> А нахрена ее мониторить?
> ХЗ, ФСТЭК говорит — надо.

Это беда, да.  Кстати, надо будет попробовать спросить с отсылкой к таким вот случаям -- мафия (антивирусная) мафией, но надо же и совесть знать.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 25-Апр-20 11:41 
Мониторить фс и сканировать файлы при доступе надо. ClamAV умеет мониторить и блокировать доступ при обнаружении виря через fanotify.

Файловый антивирус в GNULinux необходим для сканирования изменяемых разделов диска и получаемых через сеть файлов. /home, /tmp, /var/tmp надо сканировать при доступе. Настроить кеш с md5 сумами сканированных файлов и деятельность ClamAV станет неощутима.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено bircoph , 27-Апр-20 10:52 
> Файловый антивирус в GNULinux необходим для сканирования изменяемых разделов диска и получаемых через сеть файлов. /home, /tmp, /var/tmp надо сканировать при доступе.

Зачем? Жизнеспособных вирусов для Linux нет. Это не значит, что нет иных методов взлома, но защищаются от них вовсе не антивирусами.

> Настроить кеш с md5 сумами сканированных файлов и деятельность ClamAV станет неощутима.

md5 коллизии легко подбираемы, так что настраивайте.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 17:54 
Да, это же форк антивируса Попова
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 21:31 
Comodo 02.2013 на qt4 - последняя версия. Не знаю, кто и ка на нём эти тесты проводил.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 14:11 
Эх... вот если бы антивирусник весь хоум пользователя перемещал бы в каталог quarantine - это был бы номер, прям в тему.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 14:50 
Зачем, если кое-какие популярные ОС сами это делают при обновлении.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено An , 21-Апр-20 14:26 
Ну красавчики же )
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:49 
Хoмячки, которые спонсируют вирусописателей (и по совместительству создателей антивирусов) - должны страдать.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено evkogan , 21-Апр-20 14:50 
Отсутствие всяких drweb и др. в списке это скорее всего не тестировали.
Но в списке нет TrendMicro. А это один из самых распространенных в мире.
Хотя странная подача материала, дать список уязвимых и не дать списка тестированных
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено snmp agent , 21-Апр-20 16:15 
Реклама стоит денег )
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 16:31 
>всяких

Несколько раз сталкивался, что вирусы видел только drweb (ни нод, ни каспер не справились). Впрочем, ещё больше случаев было, когда он ничего не смог, и успешным оказался один из нод и каспер (но не оба, один из них постоянно пропускал). Что действительно странно, так это то, что нет самого распространённого от МС.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аномномномнимус , 21-Апр-20 19:30 
Базы пробовал обновлять?) Пока drweb самый адекватный из всех что я пробовал. А история общения с ним ещё со времён drweb for dos на 80486dx.
Кошмарский конечно впереди... по файлс-позитивам. Нод до сих пор не привычно считать антивирусом. Но конечно лучше чем вагон и тележка какого-то вообще неведомого троянизированного недософта которого десяток лет ещё даже не видел никто и который фальспозитивит ещё чаще чем кошмарский и единственное что они исправно делают - всякие кряки и активаторы выносят. Трояны/вирусня/майнеры - только по праздникам.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 20:03 
Угу, нод и каспер были лицензионные и обновлённые, а дрвеб самый свежий бесплатный cureit. Я не люблю чистить компы от малвари, поэтому не повторял, там просто надо было локалочку привести в порядок. И файлы выцепил для теста: запускаешь их, они заражают тебя криптолохерами и шпионами. Могу добавить только, что аваст ещё бесполезней нортона и мкафи (все обновлённые угу).
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено vz_2 , 21-Апр-20 15:02 
Подозрительно, в списке нет Windows Defender.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено vz_2 , 21-Апр-20 15:05 
Вернее уже Microsoft Defender
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:01 
Намёк?
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:26 
Есть же.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено JL2001 , 22-Апр-20 11:54 
> Есть же.

это для макоси который?

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:47 
Винда не нужна.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено robot228 , 21-Апр-20 15:57 
не ав а помойка какая-то ну разве что каспер может претендовать на звание подручный фсб т.е. наверное знали об этом но не исправляли целенаправленно.
почему нету нода дрвеба и от мс - загадка.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Ordu , 21-Апр-20 16:22 
А как антивирус может избежать такого? Мне в голову приходит только что-то в стиле:

chdir(downloads_dir_name);
if(av_check(downloaded_file_name)) {
    unlink(downloaded_file_name);
}

Но довольно уродливо жеж:

1. chdir надо делать, фактически манипулируя глобальным состоянием процесса, что сакс.
2. антивирь висит фоновым процессом, и если он делает chdir в другую файловую систему, то хрен её отмонтируешь, пока он оттуда не свалит, что тоже минус
3. race-condition не убирается полностью. В смысле уязвимость устраняется, но а если кто-нибудь в это время сделает mv, и заменит файл? Первый файл будет удалён этим mv, а мы удалим то, что придёт на замену.

Можно подключить inotify, но мне кажется это не спасёт полностью.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 16:41 
1) вместо chdir + unlink можно сделать unlinkat
2) см. 1. Чтобы отмонтировать, по-моему, достаточно закрыть за собой дескриптор директории
3) гонка внутри директории не убирается, но хотя бы есть гарантия, что файл удаляется из нужной директории, а не из /etc
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Ordu , 22-Апр-20 02:07 
> 1) вместо chdir + unlink можно сделать unlinkat

То есть передавать ядру абсолютный путь удаляемого файла, и если между av_check и unlink/unlinkat злоумышленник заменит директорию на симлинк, то мы удалим /etc/passwd.

> 2) см. 1. Чтобы отмонтировать, по-моему, достаточно закрыть за собой дескриптор директории

Нет, ежели у процесса текущая директория на разделе, то его не отмонтировать. Приходится выяснять что за процесс и прибивать его.

> 3) гонка внутри директории не убирается, но хотя бы есть гарантия, что
> файл удаляется из нужной директории, а не из /etc

Да, я согласен. Но всё равно интересно. По-моему без API позволяющего лочить директории или пути на уровне ядра, не получится писать без race condition.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 22-Апр-20 13:39 
> То есть передавать ядру абсолютный путь удаляемого файла, и если между av_check и unlink/unlinkat злоумышленник заменит директорию на симлинк, то мы удалим /etc/passwd.

Я ничего не говорил про абсолютный путь до файла. Я имел в виду это:

int dirfd = open(path_to_dir, O_DIRECTORY);
int file = openat(dirfd, filename);
if(av_check(file) == INFECTED) {
    unlinkat(dirfd, filename);
}
close(file);
close(dirfd);

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Ordu , 22-Апр-20 18:54 
А, круто-круто.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 16:45 
Запоминать иноду проверяемого файла и удалять по ней? И после удаления убеждаться, не появилось ли чего на месте удалённого? Сабж из новости не баг, а фича, как же бесит софт, файлы которого не переместить в другое место подобным образом.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 16:53 
А как удалить файл по inode? unlink принимает путь, а не inode
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 17:26 
> А как удалить файл по inode? unlink принимает путь, а не inode

debugfs емнип

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено КО , 21-Апр-20 20:19 
>Запоминать иноду проверяемого файла и удалять по ней?

Если в ФС есть такое понятие. :)

А вообще уязвимость чисто синтетическая. Вредоносу надо:
1. Успеть попасть на атакуемую систему.
2. Запустится
3. Подсунуть себя сканеру
4. устроить гонку.
5. поменять ссылку.
6. победить.

Еще как способ школьнику снести антивирус в классе, как-то. И то надо суметь успеть гонку сделать.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 20:32 
Так там можно мониторить, кто и когда к тебе обращается, поэтому не так и сложно. А то и попросить разбудить, когда тебя кто-то трогает. Что до проникнуть… Сейчас кончено всё больше через жит в браузерах, раньше можно было постучаться в закрытый порт и попроситься в духе "виндоус, дорогая, пусти меня, пожалуйста, мне тут надо проникнуть" и всё. Не так и давно это было.

А схожее понятие вроде же есть везде? Я не специалист по фс, но, как мне видится, без уникального идентификатора ничего бы не работало.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено КО , 21-Апр-20 20:58 
>Так там можно мониторить, кто и когда к тебе обращается, поэтому не так и сложно

Сначала надо при работающей проактивной защите выполнить пункты 1-2. Попытаться перехватить операции к ФС раньше АВ ибо с работающим он не позволит (жадный). Ну и угадать со временем (подстроясь под конкретный с конкретным набором баз).

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Ordu , 22-Апр-20 01:59 
>>Так там можно мониторить, кто и когда к тебе обращается, поэтому не так и сложно
>  Сначала надо при работающей проактивной защите выполнить пункты 1-2. Попытаться перехватить
> операции к ФС раньше АВ ибо с работающим он не позволит
> (жадный). Ну и угадать со временем (подстроясь под конкретный с конкретным
> набором баз).

av запрещает прикладным программам пользоваться inotify?

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 16:49 
И ещё насчёт 3 — не уверен, что делается именно так, но антивирус может проверить файл на вирусы, и если он заражён, поместить в свою внутреннюю директорию с карантином, в которой настроены нужные права и которой он управляет единолично. В ней уже можно сверить номер inode с номером inode заражённого файла — если совпадают, удалить, если нет — восстановить.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 22-Апр-20 10:14 
Только для этого надо иметь отдельный карантин для каждой точки монтирования. Кто-то реально так делает?
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 22-Апр-20 13:40 
Да, именно так и делают.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:25 
1. Вместо chdir можно использовать абсолютный путь.
2. Насколько это критично для /home?
3. Нужно работать не с путевым именем, а файловым дескриптором.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Ordu , 22-Апр-20 01:58 
> 1. Вместо chdir можно использовать абсолютный путь.

Проблема которую надо устранить -- это возможность для злоумышленника поймать момент когда av_check запущен, а unlink ещё не сделан, удалить одну из директорий этого абсолютного пути и заменить её на симлинк на /etc.

> 2. Насколько это критично для /home?

А если это не /home? Я допустим после неоднократных переездов с одного диска на другой пришёл к раскладу где /home/me содержит много чего, но все downloads, torrents, porn и прочие объёмные хранилища на отдельном разделе. Так проще переезжать и проще добавить туда ещё диск. И в случаях когда диск переполняется, переполняется не /home/me, а вот та помойка.

То есть, я не думаю, что это критично -- антивирус и прибить можно, если что, -- но всё равно это такая вещь, которой хотелось бы избежать.

> 3. Нужно работать не с путевым именем, а файловым дескриптором.

Как удалить файл через файловый дескриптор?

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:44 
Легко может избежать, если ты его не поставишь!
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 17:34 
POSIX устарел - нужно менять его
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:26 
Уже заменили на SUS.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:51 
Fucsia OS не POSIX-совместимая.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 22:04 
гугловцы же не наркоманы. Написали, что хотели под задачу. Они уже порядком подзадолбались участвовать в ненужных обсуждениях.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено snmp agent , 21-Апр-20 23:00 
Да, проблема по идее не новая:
https://www.linux.org.ru/forum/security/14137656

Интересно, как это фиксили те, кто пофиксил. У них какой-нибудь модуль ядра или просто усложнили эксплуатацию, приблизив проверку к месту вызова unlink?

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Iron_Bug , 21-Апр-20 18:38 
Фрактал, запомни раз и навсегда - главная дырень находится в твоей голове. Это раз. И второе - ты не программист.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 20:01 
Сказал специалист во всех сферах
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено K50 , 21-Апр-20 20:50 
Ньюфaг детектед!!1
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 22-Апр-20 09:17 
Сам такой. Я на ЛОР-е чалюсь с конца 12
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 22-Апр-20 09:18 
С конца 2012 года, в смысле
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Michael Shigorin , 22-Апр-20 15:00 
> С конца 2012 года, в смысле

Гм, а я оттуда ушёл в 2003.  Но #71 -- строго по существу.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 18:56 
Офигеть... Откуда они все взялись? Можно и в консоль пердолиться, и гуи есть, и модуль ядра, и еще много чего...

И руководство классное:
> ядро ОС должно быть собрано со включением следующих опций...
> ...библиотеку glibc версии 2.13 или новее.
> наличие графической подсистемы X Window System и любого менеджера окон
> для корректного отображения индикатора в... Unity... библиотека libappindicator1.
> Для повышения привилегий... требуется...: su, sudo, gksu, gksudo, kdesu, kdesudo.
> Для корректной работы... необходимо, чтобы... использовался механизм аутентификации PAM.
> может конфликтовать с другими брандмауэрами: Shorewall и SuseFirewall2, FirewallD
> ...если в состав ОС включен NetFilter версии младше 1.4.15... внутренней ошибкой в реализации NetFilter: при выключении... нарушается работа сети.
> не совместим с подсистемой улучшения безопасности SELinux

!!!Хорошая видать штука этот SELinux!!!

И вишенка на торте:
> Работа... в... «параноидальном» режиме с предварительной блокировкой доступа к еще не проверенным файлам возможна только через fanotify и при условии, что ядро ОС собрано с активной опцией CONFIG_FANOTIFY_ACCESS_PERMISSIONS.

Этот, интересно, будет подвержен?

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 19:09 
Это разве не странно, зачем программе, которая исключительно только показывает страшные картинки и визжит, имитируя бурную деятельность, столько всего? Хотя в новые версии встроили алгоритмы поиска интересных документов и отправки их на сервера всех заинтересованных, но для это ведь тоже это всё не нужно?
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 19:56 
> зачем программе, которая исключительно только показывает страшные картинки и визжит, имитируя бурную деятельность, столько всего?

Требования все адекватные. Для отображения графики нужна графика, для проверки файловой активности используется fanotify, для проверки сетевой активности тоже нужны средства мониторинга сетевых соединений и возможность настройки файерволла. Все там нормально с требованиями...


Другой вопрос - кому вообще потребовался АНТИВИРУС в линуксе? Были хорошие и востребованные решения типа livecd с антивирусником: загрузился и проверил наличие вирусов в файлах. Но там только диски сканируются (причем offline).

А для работы online - ну тут уже видно: нужно грамотно настроить файерволл, а тот же SELinux прекрасно блокирует активность антивируса... с таким же успехом он заблокирует и активность вируса ;) Изменения в системных файлах (даже сделанные каким-то хакером) прекрасно видит пакетный менеджер (сравнивая размер и контрольные суммы файлов в пакетах и на диске).
Польза от антивирусника становится сильно сомнительной, если руки из правильного места растут.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 21:28 
> кому вообще потребовался АНТИВИРУС в линуксе?

Задай этот вопрос ФСТЭКу.

> SELinux прекрасно блокирует активность антивируса

Скажу по большому секрету: ни фига он не блокирует.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Суп из потрошков , 21-Апр-20 18:56 
Оу, значит встроенный антивирус виндоуз не подвержен. Хорошо.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено и.о.К.О. , 21-Апр-20 19:34 
у него другая беда. файловые операции замедляет в 17 раз.
копирование диры с множеством файлов
без антивирусов выполняется за 2 секунды,
с ним за 33.
с касперским "всего" за 24.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 20:08 
Ура, теперь мы будем знать как Доктор Вэб и Касперский следят за нами.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 21:24 
Лучший антивир - его отсутствие. В крайнем случае - когда его не слышно.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 21-Апр-20 22:03 
Когда его не слышно, он всё ещё тормозит и шпионит. Удаляет файлы (актуально для любителей игрушечек -- пока авторы не пожалуются в каждый антивирус, у всех покупателей будут проблемы) и генерирует глюки в софте.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 22-Апр-20 01:14 
Надеюсь всех этих кaсперов и прочих прeдaтeлей Poдины отдадут под трибyнaл.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Daemon , 21-Апр-20 23:49 
А нефига сидеть под админом/root`ом. Исключение только разве что BSD. Там со времен Морриса ничего не появилось. Так что можно смело под root сидеть.
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Michael Shigorin , 22-Апр-20 15:07 
> Исключение только разве что BSD. Там со времен Морриса ничего
> не появилось.

А это померещилось? -- http://www.nixp.ru/news/12639.html

> Так что можно смело под root сидеть.

Мальчик, никогда взрослые дяди не говорили, почему именно работать рутом -- плохая примета?  Что такое privsep не только в сервисах, а и в повседневной работе?..

Понимаю, что умных дядь в окрестности могло просто не оказаться -- одни олухи с криками про "ляликс" (порой в майках win2k, как Dear Never).  Но это тоже не повод головой-то совсем не думать.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Daemon , 25-Апр-20 20:02 
> А это померещилось? -- http://www.nixp.ru/news/12639.html

Во первых 2014 год. Во вторых PHP и LAMP/BAMP стек дырявый как дуршлаг. Базовую систему это не затрагивает.


> Мальчик, никогда взрослые дяди не говорили, почему именно работать рутом -- плохая
> примета?  Что такое privsep не только в сервисах, а и
> в повседневной работе?..
> Понимаю, что умных дядь в окрестности могло просто не оказаться -- одни
> олухи с криками про "ляликс" (порой в майках win2k, как Dear
> Never).  Но это тоже не повод головой-то совсем не думать.

Мальчик скоро дедушкой станет :) 53 как никак :)

Предпочитаю не лазить лишний раз в настроенные сервера вообще. А сидеть на инструментальной машине, где собираешь/пишешь под рутом ничего зазорного не вижу. Дирректива NOPASSWD в sudo не сильно уступает руту. Упадет - бэкап + git. Дома на мультимедиа-компе да - юзер. Но там и sudo разве что для reboot вводить если в очередной раз после apt update все упало )))))

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним , 22-Апр-20 00:38 
То есть, чтобы подхватить вирус на линукс, нужно поставить антивирус?)
"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено Аноним2 , 22-Апр-20 06:17 
Вообще, у всех вменяемых антивирусов модульная архитектура с проверкой целостности собственным файлов. Там что, чтобы антивирус вынести полностью - это нам нужен зловред, который под конкретный АВ создаст штук 5-6 таких обманок, чтобы вырубить АВ полностью и безвозвратно. То есть, нам нужен некий главный троянец, который будет плодить мелких зловредов с их подменой на ссылки, исходя из детектируемого АВ, чтобы далее, после убийства АВ, загрузить либо троян для скачивания чего-нибудь ценного, либо шифратор для крипто-вымогательства. Я плохо представляю, чтобы АВ пропустил такое светопредставление у себя под носом.

Причем довольно интересный момент "в Windows атака ограничена только удалением файлов, которые в текущим момент не используются другими приложениями" - то есть уже запущенный АВ эта атака выгрузить и не сможет, а значит он вполне себе забьёт тревогу, что его файлы удаляют, что даст пользователю возможность как-то среагировать (выдернуть шнур:)). Про Linux не говорю, так как там и АВ, и вирусы - это из разряда мифологии. :)

В общем, мне кажется вендоры подзабили, так как реально этим воспользоваться слишком сложно. В видео человек в консоли команды отдает, но это синтетика в чистом виде. Нагляднее было бы показать, как некий рандомный файл, например, из почты, скачанный на ПК и запущенный райткликом сможет сделать что-то действительно критическое для системы или пользовательских данных, используя данную уязвимость.

П.С. Пользуюсь Eset-ом на оффтопике, как очень удобным и наглядным фаерволом с минимальной нагрузкой на систему. Закрыл все лишнии сетевые активности, настроил правила для контроля автозагрузки и доступа к рабочим файлам. Доволен и спокоен. Необходимости в чем-то более мощном на Windows не вижу, а на Linux и тем паче.

"Большинство антивирусов оказались подвержены атаке через сим..."
Отправлено sazh , 23-Апр-20 01:27 
Я понял одно что антивирус на линуксе зло в двойне умножено на куб))