Un nuovo zero-day di Avast entra nel dominio pubblico

Un ricercatore di sicurezza che opera con lo pseudonimo Chaotic Eclipse ha pubblicato il codice proof-of-concept per una presunta vulnerabilità zero-day in Avast Antivirus, il software di sicurezza di proprietà di GenDigital. L'exploit, denominato PrettyPrague, prende di mira una falla di escalation dei privilegi nel prodotto antivirus. Al momento non è disponibile alcuna patch e a questa vulnerabilità non è stato assegnato alcun numero CVE al momento della stesura di questo articolo.

I bug di escalation dei privilegi sono particolarmente preoccupanti nel software di sicurezza perché i prodotti antivirus in genere vengono eseguiti con permessi di sistema elevati per scansionare file, monitorare processi e bloccare malware. Se una falla consente a un attaccante di passare da un account utente limitato a un accesso completo a livello di sistema, lo strumento stesso progettato per proteggere un dispositivo potrebbe diventare una via d'accesso allo stesso.

Chi è Chaotic Eclipse, e perché questo schema è importante?

Non è la prima volta che Chaotic Eclipse rilascia codice exploit non patchato in circolazione. Lo stesso ricercatore ha precedentemente divulgato uno zero-day di Windows chiamato Legacyhive, per il quale Microsoft non aveva una correzione pronta al momento della divulgazione. Questo schema, pubblicare exploit funzionanti per software importanti prima che i fornitori abbiano distribuito una patch, sembra essere una strategia deliberata piuttosto che un incidente isolato.

Le motivazioni dietro questi rilasci sono importanti per capire come organizzazioni e individui dovrebbero rispondere. A differenza della divulgazione responsabile tradizionale, in cui i ricercatori notificano privatamente i fornitori e concedono loro tempo per correggere i problemi prima che i dettagli diventino pubblici, questo approccio mette immediatamente in circolazione codice exploit funzionante. Ciò comprime la finestra di risposta a disposizione dei difensori e aumenta le probabilità che attaccanti opportunistici tentino di trasformare il codice in un'arma prima che esista una correzione.

La posta in gioco per la privacy e la sicurezza degli utenti comuni

Il software antivirus occupa una posizione di fiducia unica su un dispositivo. Ha una visibilità profonda su file, processi in esecuzione e memoria di sistema, ed è esattamente per questo che una falla di escalation dei privilegi in quello strato è così significativa. Se l'exploit PrettyPrague funziona come descritto, un attaccante con privilegi bassi o un malware già presente su una macchina potrebbe potenzialmente sfruttare la falla per ottenere il controllo completo del sistema, aggirando proprio le protezioni che Avast dovrebbe fornire.

Per la maggior parte degli utenti domestici, il rischio realistico dipende in larga misura dal fatto che un attaccante abbia già una qualche forma di accesso iniziale a un dispositivo, poiché gli exploit di escalation dei privilegi in genere richiedono proprio quel punto d'appoggio per iniziare. Tuttavia, in ambienti aziendali o su computer condivisi, dove esistono più account con diversi livelli di permessi sulla stessa macchina, questo tipo di vulnerabilità può essere particolarmente pericoloso. Un insider malintenzionato o un account compromesso con privilegi bassi potrebbe usare l'exploit per passare a un accesso di livello amministratore, esponendo file sensibili, credenziali e risorse di rete.

Anche l'assenza di un identificatore CVE in questa fase è rilevante. Senza una voce formale di vulnerabilità, i team di sicurezza hanno maggiori difficoltà a monitorare il problema attraverso gli scanner di vulnerabilità e i sistemi di gestione delle patch, il che può rallentare la risposta organizzativa anche dopo che GenDigital riconosce e affronta la falla.

Cosa significa per te

Se usi Avast Antivirus, non c'è bisogno di farsi prendere dal panico, ma vale la pena prestare attenzione. Le affermazioni zero-day da parte di ricercatori indipendenti non sono sempre confermate dal fornitore, e i dettagli possono evolvere man mano che emergono maggiori informazioni. Detto questo, lo schema delle precedenti divulgazioni da parte dello stesso ricercatore, incluso l'exploit Legacyhive incentrato su Windows, suggerisce che queste affermazioni meritano di essere prese sul serio anziché liquidate del tutto.

La cosa più importante che puoi fare in questo momento è restare aggiornato. Mantieni attivi gli aggiornamenti automatici sia per il sistema operativo che per il software di sicurezza, così che qualsiasi patch rilasciata da GenDigital venga applicata non appena disponibile. Evita di scaricare o eseguire tu stesso il codice proof-of-concept pubblicato pubblicamente, anche solo per curiosità, poiché farlo su un sistema non patchato potrebbe esporre la tua macchina proprio al rischio che la divulgazione evidenzia.

È anche un buon momento per rivedere l'igiene di base degli account. Poiché gli exploit di escalation dei privilegi in genere richiedono una qualche forma di accesso esistente a un dispositivo, ridurre il numero di account con diritti di amministratore, usare password forti e uniche ed evitare installazioni di software non necessarie riducono tutte la superficie di attacco che un exploit come questo potrebbe sfruttare.

Azioni concrete da intraprendere

Ecco cosa fare mentre la situazione si evolve:

  • Mantieni Avast Antivirus e Windows aggiornati automaticamente, così che qualsiasi patch in arrivo si installi senza ritardi.
  • Non eseguire né testare il codice PoC rilasciato pubblicamente, nemmeno a scopo di ricerca, su una macchina di produzione.
  • Limita il numero di account utente con privilegi di amministratore su computer condivisi o familiari.
  • Tieni d'occhio una dichiarazione ufficiale o un avviso di patch da parte di GenDigital e applicalo prontamente una volta rilasciato.
  • Se gestisci sistemi in un ambiente aziendale, segnala questa affermazione zero-day al tuo team IT o di sicurezza, così che possa essere monitorata anche senza un CVE formale ancora assegnato.

Divulgazioni zero-day come questa sono un promemoria del fatto che nessun singolo software, compresi gli strumenti antivirus pensati per proteggerti, è immune da vulnerabilità. Restare aggiornati con le patch, ridurre al minimo i privilegi non necessari e seguire gli aggiornamenti provenienti da fonti di informazione sulla sicurezza credibili restano le difese più affidabili mentre il settore lavora verso una correzione.