安全研究公司SafeBreach在卡巴斯基安全连接软件中发现的一个安全问题,它本身被捆绑到一系列其他卡巴斯基安全产品中,允许恶意攻击者在更复杂的攻击情况下获得签名代码执行,甚至规避防御。
编号为CVE-2019-15689的安全公告详细介绍了该漏洞,该漏洞使黑客能够通过作为NT权限/系统启动的签名版本运行未签名的可执行文件,技术上为在受攻击设备上进一步恶意活动打开了大门。
SafeBreak解释说,卡巴斯基安全连接捆绑到卡巴斯基杀毒软件、卡巴斯基互联网安全软件、卡巴斯基Total Security软件和其他软件中,使用的服务具有系统权限,并且可执行文件由“ AO Kaspersly Lab”签名。如果攻击者找到了在此过程中执行代码的方法,则可以将其用作应用程序白名单绕过安全产品。
而且由于该服务是在引导时运行的,这意味着潜在的攻击者甚至可以在每次系统启动时获得持久性,来运行恶意有效负载。深入分析发现,卡巴斯基的服务试图加载一系列dll,其中一些dll丢失了,而且由于安全软件不使用签名验证,很容易将未签名的可执行文件伪装成已签名的可执行文件。此外,Kaspersky服务不使用安全DLL加载,这意味着它只使用DLL的文件名,而不是绝对路径。该错误已于2019年7月报告给卡巴斯基,SafeBreak于11月21日发布了CVE-2019-15689安全公告。
网友评论(共有 0 条评论)