Nowy zero-day w Avast trafia do domeny publicznej

Badacz bezpieczeństwa działający pod pseudonimem Chaotic Eclipse opublikował kod proof-of-concept dla rzekomej luki zero-day w Avast Antivirus, oprogramowaniu zabezpieczającym należącym do GenDigital. Exploit, nazwany PrettyPrague, wykorzystuje podatność typu privilege escalation w produkcie antywirusowym. Obecnie nie jest dostępna żadna poprawka, a numer CVE nie został przypisany do tej podatności w momencie pisania tego artykułu.

Błędy typu privilege escalation są szczególnie niepokojące w oprogramowaniu zabezpieczającym, ponieważ produkty antywirusowe zazwyczaj działają z podwyższonymi uprawnieniami systemowymi, aby skanować pliki, monitorować procesy i blokować złośliwe oprogramowanie. Jeśli luka pozwala atakującemu na eskalację z ograniczonego konta użytkownika do pełnego dostępu na poziomie systemu, samo narzędzie zaprojektowane do ochrony urządzenia może stać się ścieżką do niego.

Kim jest Chaotic Eclipse i dlaczego ten schemat ma znaczenie?

To nie jest pierwszy raz, gdy Chaotic Eclipse udostępnił niezałatany kod exploita do publicznej wiadomości. Ten sam badacz wcześniej ujawnił zero-day w Windows o nazwie Legacyhive, dla którego Microsoft nie miał gotowej poprawki w momencie ujawnienia. Ten schemat, publikowanie działających exploitów dla ważnego oprogramowania zanim dostawcy wydali poprawkę, wydaje się być celową strategią, a nie odosobnionym incydentem.

Motywacja stojąca za tymi publikacjami ma znaczenie dla tego, jak organizacje i osoby prywatne powinny reagować. W przeciwieństwie do tradycyjnego odpowiedzialnego ujawniania, gdzie badacze prywatnie powiadamiają dostawców i dają im czas na naprawienie problemów przed upublicznieniem szczegółów, to podejście wprowadza funkcjonalny kod exploita do obiegu natychmiast. To skraca okno czasowe, jakie mają obrońcy na reakcję, i zwiększa prawdopodobieństwo, że oportunistyczni atakujący spróbują wykorzystać ten kod zanim powstanie poprawka.

Stawka prywatności i bezpieczeństwa dla zwykłych użytkowników

Oprogramowanie antywirusowe zajmuje wyjątkowo zaufaną pozycję na urządzeniu. Ma głęboki wgląd w pliki, uruchomione procesy i pamięć systemową, co jest dokładnie powodem, dla którego luka typu privilege escalation w tej warstwie jest tak istotna. Jeśli exploit PrettyPrague działa tak, jak opisano, atakujący z niskimi uprawnieniami lub złośliwe oprogramowanie już obecne na maszynie mogłoby potencjalnie wykorzystać tę lukę do uzyskania pełnej kontroli nad systemem, omijając zabezpieczenia, które Avast ma zapewniać.

Dla większości użytkowników domowych realistyczne ryzyko zależy w dużej mierze od tego, czy atakujący ma już jakąś formę początkowego dostępu do urządzenia, ponieważ exploity typu privilege escalation zazwyczaj wymagają takiego punktu zaczepienia. Jednak w środowiskach korporacyjnych lub na komputerach współdzielonych, gdzie na tej samej maszynie istnieje wiele kont o różnych poziomach uprawnień, ten typ podatności może być szczególnie niebezpieczny. Złośliwy insider lub przejęte konto z niskimi uprawnieniami mógłby wykorzystać ten exploit do przeskoczenia na dostęp na poziomie administratora, narażając wrażliwe pliki, dane uwierzytelniające i zasoby sieciowe.

Brak identyfikatora CVE na tym etapie również ma znaczenie. Bez formalnego wpisu podatności zespoły bezpieczeństwa mają trudności z śledzeniem problemu w skanerach podatności i systemach zarządzania poprawkami, co może spowolnić reakcję organizacji nawet po tym, jak GenDigital potwierdzi i rozwiąże tę lukę.

Co to oznacza dla Ciebie

Jeśli używasz Avast Antivirus, nie ma potrzeby panikować, ale warto zwrócić uwagę. Roszczenia o zero-day od niezależnych badaczy nie zawsze są potwierdzane przez dostawcę, a szczegóły mogą się zmieniać w miarę pojawiania się nowych informacji. Mając to na uwadze, schemat wcześniejszych ujawnień tego samego badacza, w tym exploita Legacyhive skierowanego na Windows, sugeruje, że te roszczenia warto traktować poważnie, a nie od razu odrzucać.

Najważniejszą rzeczą, którą możesz teraz zrobić, jest pozostanie na bieżąco. Utrzymuj włączone automatyczne aktualizacje zarówno dla systemu operacyjnego, jak i oprogramowania zabezpieczającego, aby każda poprawka wydana przez GenDigital została zastosowana tak szybko, jak będzie dostępna. Unikaj pobierania lub uruchamiania publicznie opublikowanego kodu proof-of-concept, nawet z ciekawości, ponieważ zrobienie tego na niezałatanym systemie mogłoby narazić twoją własną maszynę na dokładnie to ryzyko, które podkreśla to ujawnienie.

To także dobry moment, aby przejrzeć podstawową higienę kont. Ponieważ exploity typu privilege escalation zazwyczaj wymagają jakiejś formy istniejącego dostępu do urządzenia, zmniejszenie liczby kont z prawami administratora, używanie silnych i unikalnych haseł oraz unikanie niepotrzebnych instalacji oprogramowania zmniejszają powierzchnię ataku, którą mógłby wykorzystać taki exploit.

Praktyczne wnioski

Oto co robić, gdy ta sytuacja się rozwija:

  • Utrzymuj Avast Antivirus i Windows aktualizowane automatycznie, aby każda nadchodząca poprawka zainstalowała się bez opóźnień.
  • Nie uruchamiaj ani nie testuj publicznie udostępnionego kodu PoC, nawet do celów badawczych, na maszynie produkcyjnej.
  • Ogranicz liczbę kont użytkowników z uprawnieniami administratora na komputerach współdzielonych lub rodzinnych.
  • Śledź oficjalne oświadczenie lub biuletyn o poprawce od GenDigital i zastosuj go niezwłocznie po wydaniu.
  • Jeśli zarządzasz systemami w środowisku biznesowym, przekaż to roszczenie o zero-day swojemu zespołowi IT lub bezpieczeństwa, aby mogło być śledzone, nawet bez formalnie przypisanego CVE.

Ujawnienia zero-day takie jak to są przypomnieniem, że żaden pojedynczy element oprogramowania, w tym narzędzia antywirusowe mające cię chronić, nie jest odporny na podatności. Pozostawanie załatanym, minimalizowanie niepotrzebnych uprawnień i śledzenie aktualizacji z wiarygodnych źródeł bezpieczeństwa pozostają najbardziej niezawodnymi środkami obrony, podczas gdy branża pracuje nad rozwiązaniem.