Eran Shimony จาก CyberArk อออกมาเปิดเผยถึงการค้นพบช่องโหว่ในผลิตภัณฑ์ Antivirus กว่า 15 ช่องโหว่ กระทบผลิตภัณฑ์ของ Kaspersky, McAfee, Symantec, Fortinet, CheckPoint, Trend Micro, Avira และ Microsoft Defender ช่องโหว่ทั้งหมดเป็นลักษณะของช่องโหว่แบบ logical หรือหมายถึงช่องโหว่ในเรื่องของการจัดการที่ไม่เหมาะสม ทำให้ผู้โจมตีสามารถใช้ประโยชน์จากปัญหาดังกล่าวในการโจมตีได้

Eran อธิบายถึงที่มาของช่องโหว่เอาไว้ในบล็อกของ CyberArk ช่องโหว่บางส่วนเกิดจากการจัดการสิทธิ์ที่ไม่เหมาะสมเมื่อมีการเขียนข้อมูลลงในพาธ C:\ProgramData รวมไปถึงการไม่ตรวจสอบและแก้ไขสิทธิ์ของไดเรกทอรีหรือไฟล์ที่โปรแกรม Antivirus ที่มีสิทธิ์สูงจะเข้าไปยุ่งเกี่ยวด้วยอย่างเหมาะสม แฮกเกอร์ซึ่งทราบเงื่อนไขของการโจมตีสามารถสร้างเงื่อนไขเพื่อให้โปรแกรม Antivirus ซึ่งมีสิทธิ์สูงอยู่แล้วเข้าไปแก้ไขไฟล์อื่น ๆ ในระบบ หรือลบไฟล์อื่น ๆ ในระบบได้

นอกเหนือจากเรื่องสิทธิ์ที่เกี่ยวกับพาธ C:\ProgramData แล้ว Eran ยังมีการระบุถึงช่องโหว่ DLL injection ในซอฟต์แวร์ Installer ยอดนิยมที่มักถูกใช้โดยผู้พัฒนาโปรแกรมป้องกันมัลแวร์ อาทิ InstallShield, InnoSetup, NsisInstaller และ Wix installer ด้วย

ช่องโหว่ดังกล่าวได้รับการแจ้งและแพตช์โดยผู้พัฒนาโปรแกรมป้องกันมัลแวร์แล้ว ขอให้ผู้ใช้งานทำการติดตามแพตช์และทำการอัปเดตเพื่อลดความเสี่ยงที่จะถูกโจมตีโดยใช้ช่องโหว่นี้โดยทันที

ที่มา : thehackernews

นักวิจัยจาก CyberArk ได้พัฒนาวิธีการที่สามารถทำให้มัลแวร์ข้ามผ่านการตรวจสอบจาก Windows Defender ได้ อย่างไรก็ตามทางด้าน Microsoft กลับออกมาตอบประเด็นดังกล่าวว่าปัญหานี้นั้นไม่ถือเป็นปัญหาด้านความปลอดภัย และจะไม่มีการแก้ไขใดๆ ในส่วนการทำงานของ Windows Defender
ในรายละเอียดนั้น การข้ามผ่านการตรวจจับนั้นเกี่ยวข้องกับการใช้งาน custom-built SMB server ในการหลอกให้ตัว Windows Defender ไปสแกนตัวไฟล์ปกติ ในขณะที่มัลแวร์ก็จะถูกรันในระบบ ทีมวิจัย CyberArk นำโดย Doron Naim และ Kobi Ben Naim เรียกการโจมตีนี้ว่า Illusion Gap โดยนอกจาก Windows Defender แล้ว Antivirus รายอื่นๆ ก็อาจได้รับผลกระทบด้วยเช่นกัน
Microsoft กล่าวในแถลงการณ์กับทาง CyberArk ว่าการที่ Attacker ต้องให้ user ช่วยกดรันตัวโค้ดอันตรายดังกล่าวจาก SMB share นั้นไม่น่าจะเกี่ยวข้องกับเรื่องของความปลอดภัย แต่เป็นในส่วนของ feature request มากกว่า Ben Naim กล่าวว่านั่นเป็นการตอบโต้ที่แย่มาก เพราะหาก Window Defender ไม่สามารถสแกนไฟล์ได้ ก็ไม่ควรที่จะอนุญาติให้ execute ไฟล์ดังกล่าว และยังบอกอีกว่าหาก Windows Defender สามารระบุที่มาของคำสั่งที่เข้ามาก่อกวนการทำงานได้ ก็อาจช่วยในการป้องกันตัวมันเองและ Antivirus รายอื่นๆ ได้เช่นกัน

ที่มา : Threatpost