Найдена новая уязвимость в антивирусе Symantec - Выбор домашних средств защиты - Форумы Anti-Malware.ru Перейти к содержанию
Сергей Ильин

Найдена новая уязвимость в антивирусе Symantec

Recommended Posts

Сергей Ильин

Вчера аналитики eEye Digital Security нашли дыру в антивирусе Symantec, которая позволяет злоумышленнику получить полный контроль над машиной жертвы.

Уязвимость затрагивает следующие продукты:

- Symantec Antivirus 10.x

- Symantec Client Security 3.x

(Other Symantec Antivirus products are also potentially affected, waiting for vendor list)

http://www.eeye.com/html/research/upcoming/20060524.html

Специалисты eEye Digital Security присвоили уязвимость высокую степень опасности.

Это как раз к разговору, что узявимы все продукты, любой софт.

***********************************

Symantec AntiVirus Worm Hole Puts Millions at Risk

A gaping security flaw in the latest versions of Symantec's anti-virus software suite could put millions of users at risk of a debilitating worm attack, Internet security experts warned May 25.

Researchers at eEye Digital Security, the company that discovered the flaw, said it could be exploited by remote hackers to take complete control of the target machine "without any user action."

"This is definitely wormable. Once exploited, you get a command shell that gives you complete access to the machine. You can remove, edit or destroy files at will," said eEye Digital Security spokesperson Mike Puterbaugh.

"We have confirmed that an attacker can execute code without the user clicking or opening anything," Puterbaugh said.

eEye, based in Aliso Viejo, Calif., posted a brief advisory to raise the alarm about the bug, which can allow the execution of malicious code with system-level access. The flaw carries a "high risk" rating because of the potential for serious damage, Puterbaugh said.

Symantec, of Cupertino, Calif., confirmed receipt of eEye's warning and said an investigation was underway.

"[Our] product security team has been notified of a suspected issue in Symantec AntiVirus 10.x. [We] are evaluating the issue now and, if necessary, will provide a prompt response and solution," a Symantec spokesperson said in a statement sent to eWEEK.

Symantec's anti-virus software is deployed on more than 200 million systems in both the enterprise and consumer markets, and the threat of a network worm attack is very real. However, eEye's Puterbaugh said there are no publicly shared proof-of-concept exploits or other information to suggest an attack is imminent.

But, he said, "there's nothing to say that someone hasn't found this and is already using it for nefarious activities. … It's quite possible that we weren't the only ones to find this. Who knows if it's already being used in targeted attacks that we'll never hear about."

Internet security experts have long warned that flaws in anti-virus products will become a big target for malicious hackers. During the last 18 months, some of the biggest names in the anti-virus business have shipped critical software updates to cover code execution holes, prompting speculation among industry watchers that it's only a matter of time before a malicious hacker is motivated to create a devastating network worm using security software flaws as the attack vector.

"The big surprise is we haven't seen one yet," said Johannes Ullrich, chief technology officer at the SANS ISC (Internet Storm Center), of Bethesda, Md., in a recent eWEEK interview.

In March 2004, the fast-moving Witty worm exploited a zero-day buffer overflow in security products sold by Internet Security Systems. Unlike most self-propagating worms, Witty was capable of corrupting the hard drives of infected machines, preventing normal operation of the PC and eventually causing it to crash.

"This could be Symantec's Witty," Puterbaugh warned.

The vulnerable Symantec 10.x application promises real-time detection and repairs for spyware, adware, viruses and other malicious intrusions. It is used by many of the world's largest corporate customers and U.S. government agencies.

http://www.eweek.com/article2/0,1895,1967941,00.asp

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nobody@nowhere
Вчера аналитики eEye Digital Security нашли дыру в антивирусе Symantec, которая позволяет злоумышленнику получить полный контроль над машиной жертвы.

Симетек уже поплакался комюнити что их продукт "ломают"?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
headache
Сергей Ильин писал(а):

Вчера аналитики eEye Digital Security нашли дыру в антивирусе Symantec, которая позволяет злоумышленнику получить полный контроль над машиной жертвы.

Симетек уже поплакался комюнити что их продукт "ломают"?

А что eEye представила exploit?

Кроме того:

Symantec, of Cupertino, Calif., confirmed receipt of eEye's warning and said an investigation was underway.

Разницу с john-vs-KIS видите?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nobody@nowhere
Symantec, of Cupertino, Calif., confirmed receipt of eEye's warning and said an investigation was underway.

Разницу с john-vs-KIS видите?

да. Симантек признает свою ошибку, а ЛК продолжает пудрить мозги и не признает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker
Симантек признает свою ошибку

одно но, есть на secфокусе один занятный раздел: уязвимости..

там есть такая запись http://www.securityfocus.com/bid/18107/info.. этого вполне достаточно, чтобы вендор признал наличие проблемы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Симетек уже поплакался комюнити что их продукт "ломают"?

Они над этим не парятся, это жизнь, ломают все и всех :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nobody@nowhere
Симантек признает свою ошибку

одно но, есть на secфокусе один занятный раздел: уязвимости..

там есть такая запись http://www.securityfocus.com/bid/18107/info.. этого вполне достаточно, чтобы вендор признал наличие проблемы.

да-да. я читал сообщение еще до шумихи на CCN.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
headache
да. Симантек признает свою ошибку, а ЛК продолжает пудрить мозги и не признает.

Я о содержимом репортов, а не о вендорах.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 18.1.10.
    • PR55.RP55
      1) По поводу реестра и восстановления. Некоторые программы при работе создают копию реестра. Например в корне диска от FRST  т.е. предлагаю добавить в uVS поиск таких копий. Единственно проверять копии на соответствие Системе. В образ писать информацию о такой копии и дату её создания. 2) Окно с твиками в будущем разбить на два окна, твики работающие с реестром выделить в отдельное окно. 3) В Doc - добавить  информацию по твику 35 и его возможном применении с виртуализацией. 4) Проверять возможность загрузиться с другого диска\системы и добавлять в Инфо. сведения о возможности загрузиться с другого диска\системы. Это я о том, что возможно у PC были\есть несколько пользователей и человек просто не знает, что на дисках есть другие системы.  
    • demkd
      С виртуализацией можно удалять все, защиты от нее практически нет. Выполнить 45-й твик.

      ---------------------------------------------------------
       4.99.12
      ---------------------------------------------------------
      o При удалении исключений Defender-а теперь не_используется powershell из-за неадекватного
         поведения антивируса Kaspersky Free. Теперь удаление производится через сам Defender без
         посредников.
         (!) Если Defender отключен ИЛИ неисправен ИЛИ у вас установлен и АКТИВЕН другой антивирус
         (!) то удаление исключений возможно лишь при использовании виртуализации реестра
         (!) ИЛИ при приостановке защиты этого антивируса.
         (!) Я рекомендую отключать антивирус перед запуском, он все равно бесполезен
         (!) и лишь существенно замедляет и усложняет процесс лечения.

       o Теперь в лог выводится информация о зарегистрированных в системе антивирусах/фаерволах и их состоянии.
         (Доступно для Windows Vista+)

       o Улучшена функция поиска неизвестных DLL в адресном пространстве uVS, теперь она более устойчива
         к мерам противодействия поиску.

       o Удалено ошибочное сообщение в логе для Windows Vista о блокировке kernelbase.dll,
         которой в этой системе нет.

       o Антисплайсинг: расширен список контролируемых функций.

       
    • PR55.RP55
      Посмотрел тему: https://forum.kasperskyclub.ru/topic/466078-privetstvuju-slovil-majner-po-nazvaniem-toolbtcmine2782/ Возможно имеет смысл  - выполнение  Твика #35  с виртуализацией реестра ? т.е. именно отдельный твик с виртуализацией? ( для обхода защит\ы ) ------- А как средствами uVS  удалить запись типа: Запись из Лога: Обнаружена поврежденная задача: : Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\1EOSv3 Scheduler onLogOn Собственно это единственная запись\информация. Другой информации в uVS нет. т.е.  если нет записей = иной информации, то и применить к ней команды из интерфейса невозможно. т.е. нужно или отдельно задействовать cmd и\или открывать  taskschd как-то это...  
    • santy
      Все получилось. Неудаляемые из нормального режима записи с блокировкой запуска антивируса получилось удалить твиком 35 после интеграции uVS в меню дополнительных параметров загрузки. (Обошлось без загрузочного диска.)
×