Los antivirus son un tipo de software que nos protege de las diferentes amenazas que circulan por el ciberespacio. El problema viene cuando esa protección puede ser desactivada sin que nos demos cuenta. Esto haría que no fuera capaz de detectar el malware y neutralizarlo antes de que nos afecte. También habría que ver qué pasaría si se permite que el sistema operativo realizara ciertas acciones que pudieran comprometer esa protección. Eso es precisamente lo que han descubierto desde RACK911 Labs utilizando directory junctions (Windows) y symlinks (macOS y Linux).
Así deja de ser efectiva la protección del antivirus
La mayoría de los antivirus funcionan de manera similar. Cuando un fichero desconocido se intenta copiar en el ordenador, este realiza un escaneado del mismo. En caso de ser sospechoso, lo mueve a una localización segura (cuarentena). Ahí se aguardan las instrucciones del usuario, aunque también puede ser eliminado directamente según la configuración.
Los antivirus suelen funcionar con permisos de administrador, lo que les permite tener el máximo nivel de “autoridad” en el sistema operativo. Eso se nos vuelve en contra cuando existe un fallo de seguridad. La firma de seguridad antes mencionada ha demostrado un método para saltarse la seguridad de los antivirus aprovechando todo esto.
El problema de seguridad estaría presente en Windows, macOS y Linux, siendo estos los antivirus afectados:
Windows
- Avast Free Anti-Virus
- Avira Free Anti-Virus
- BitDefender GravityZone
- Comodo Endpoint Security
- F-Secure Computer Protection
- FireEye Endpoint Security
- Intercept X (Sophos)
- Kaspersky Endpoint Security
- Malwarebytes for Windows
- McAfee Endpoint Security
- Panda Dome
- Webroot Secure Anywhere
macOS
- AVG
- BitDefender Total Security
- Eset Cyber Security
- Kaspersky Internet Security
- McAfee Total Protection
- Microsoft Defender (BETA)
- Norton Security
- Sophos Home
- Webroot Secure Anywhere
Linux
- BitDefender GravityZone
- Comodo Endpoint Security
- Eset File Server Security
- F-Secure Linux Security
- Kaspersy Endpoint Security
- McAfee Endpoint Security
- Sophos Anti-Virus for Linux
La firma de seguridad dio hasta 6 meses a los fabricantes de los antivirus para arreglar los fallos de seguridad. Consideran que es tiempo suficiente antes de hacerlo público. La mayoría se ha puesto manos a la obra para cerrar los fallos de seguridad, pero existen algunas excepciones que deben ser consultadas individualmente. RACK911 Labs ha decidido publicarlo ahora para que todos terminen cerrando los agujeros de seguridad ahora que el problema es de dominio público. A nivel usuario, sólo nos queda tener actualizado el antivirus a la versión más reciente.
Fuente: rack911labs | adslzone
