46 vírusirtót és tűzfalat törtek fel egyszerű technikával

Meglepő antivírusbakik az Ethical Hacking konferencián

forrás: Prím Online, 2013. április 16. 11:42

Ha egy unatkozó informatikus néhány óra alatt képes egyszerű technikákkal kijátszani közel félszáz ismert vírusirtót, az aggasztó az adatvédelemre nézve. Ha erre van olyan gyártó, amelyik csak legyint, az már elég ijesztő.

Bár a legtöbb informatikus tisztában van azzal, hogy az antivírus szoftverek nem tökéletesek, de hogy mekkora energiával játszhatók ki, eddig nem igazán vizsgálták. Marosi Attila IT-biztonsági szakértő azonban egyszerű, az interneten is könnyedén fellelhető technikák segítségével 10-12 óra alatt kijátszott 46 vírusirtót és nem mellesleg a tűzfalakat is, mindezt a május 9-ei Ethical Hacking konferencián be is mutatja.


„A tesztelés során egy ún. Metasploit shell_reverse_tcp-t használtam, amely távoli hozzáférést biztosít a támadó részére. Ez egy, az IT biztonsággal foglalkozó közösségek által jól ismert kártevő, amire az antivírusok rendre riasztanak is a teszteken. Ha egy ennyire ismert programot sikerül elrejteni, akkor nagy probléma van, márpedig a vizsgált 46 vírusirtó nem riasztott” – magyarázta Marosi Attila, a konferencia előadója.


Ezt követően a szakember tovább vizsgálódott, és a 9 legnépszerűbb vírusirtó esetében egy futtatási tesztet is végrehajtott. Az eredmények azonban itt sem voltak éppen meggyőzőek: csupán három antivírus riasztott, és közülük is csak kettő blokkolta a tevékenységet.


A szakember szerint annak oka, hogy a legegyszerűbb módszerekkel sikerül megkerülni a vírusirtók többségét az, hogy az antivírus programok nem tartalmazzák azokat a funkciókat, amiket a gyártók állítanak, vagy rendelkeznek ugyan velük, de azok csak „bizonyos csillagállás” mellett működnek, így könnyen kijátszhatók.


„Volt olyan gyártó, akinek átküldtem a megoldást, amivel megkerültem a vírusirtójukat és a tűzfalukat, a válasz azonban az volt, hogy ez nem hiba, mert tudnak rá szignatúrát írni. Ez azonban nem igaz, hisz ez a minta csupán addig működik, amíg meg nem változtatom a kódot. Persze volt olyan gyártó is, aki megdöbbent az eredményen, és igyekszik kiküszöbölni a hibákat” – mondta az IT-biztonsági szakember.


Marosi Attila szerint, aki a vírusirtók megkerülésének módszerét a május 9-i Ethical Hacking Konferencián részletesen bemutatja, megoldást a tényleges elszeparálás jelenthet, és már van is olyan operációs rendszer, amelyben kikapcsolható az ismeretlen forrásból származó vagy aláírással nem rendelkező alkalmazások futtatása. Emellett pedig a szignatúra alapú felismerés mellett még nagyobb figyelmet kellene fordítani a kártékony programok valós idejű detektálására, amiben még bőven van hová fejlődniük a vírusirtóknak. Ugyanakkor a különféle teszteknek is ebbe az irányba kellene elmozdulniuk. „A legtöbb teszten olyan attribútumok kapnak kiemelt figyelmet, mint például a gyorsaság – magyarázta Marosi Attila. – Ha azonban a számítógépen van egy üzleti terv, aminek az eltulajdonítása több milliós veszteséget jelent, akkor érdemes elgondolkodni, hogy tényleg olyan fontos-e a vírusirtók között meglévő néhány százalékos sebességkülönbség…”


Derült égből antivírus


Az Ethical Hacking Konferencián nem a fenti lesz az egyetlen előadás ebben a témában, szintén érdekesnek ígérkezik Buherátor: Derült égből antivírus, avagy a felhő alapú védelem árnyas oldalai c. előadása, melyben a Silent Signal IT-biztonsági szakértője körüljárja a szolgáltatás alapú végpontvédelem kulcskérdéseit, és gyakorlati példákat mutat arra, hogy milyen kellemetlen következményei lehetnek a gyártókba vetett túlzott bizalomnak.


A tesztelés menete
A tesztelés során Marosi Attila a Metasploit shell_reverse_tcp-t az interneten könnyen elérhető, viszonylag egyszerű módszerek segítségével „csomagolgatta”, hogy elrejtse az antivírus rendszerek elől. Ezt követően a virustotal.com-on végzett egy online szkennelési tesztet, melyen a 46 tesztelhető vírusirtóból egyetlen egy sem jelezte a problémát.
A teszteket a 9 legnépszerűbb vírusirtó esetében megismételte virtuális gépeken, valós környezetben is, ahol a már futó kártékony programra is csupán három jelezte, hogy gyanús viselkedést észlel. Bár két antivírus blokkolta is a futtatást, meghatározni ezek sem tudták, hogy mi is a kártékony kód.
A végső megoldással ráadásul a tűzfalakat is sikerült kijátszania, ami azt bizonyítja, hogy ezeket az alkalmazásokat egymáshoz képest a legtöbb gyártó nem védi.


Kapcsolódó hivatkozás:
http://www.netacademia.hu/konferencia
 

Biztonság ROVAT TOVÁBBI HÍREI

NIS2 és DORA: a kiberbiztonsági felzárkóztatás motorjai vagy újabb felesleges terhek?

Egyre inkább foglalkoztatja a vállalatokat az Európai Unióban, hogy hogyan fogja érinteni őket a NIS2, a felülvizsgált kibervédelmi irányelv, amely a 2016-os hálózat és információbiztonsági irányelv helyébe lép (NIS), illetve a Digital Operational Resilience Act (DORA), a pénzügyi szektor védelmének erősítését célzó rendelet. A NIS2 esetében a részletek még pontosításra várnak és a tagországok csak később ültetik át a nemzeti jogba az irányelveket, de az biztos, hogy az EU-n belül tevékenykedő cégeknek komoly munkát kell fektetniük abba, hogy eleget tegyenek a jogszabályoknak. Ha észszerűen implementálják az előírásokat a helyi jogrendbe, az jelentős előrelépést hozhat a hazai vállalatok kibervédelmi fejlettségében, ám ehhez kulcsfontosságú, hogy már most elkezdjék a felkészülést. A BlueVoyant szakértői áttekintették, hogy várakozásaik szerint mit jelentenek majd a gyakorlatban a jogszabályok.

2023. május 31. 17:00

Kövess minket a Facebookon!

Cikkgyűjtő

További fontos híreink

Hogyan lopják el adatainkat a hackerek és mire figyeljünk jelszókezelő vásárlásakor?

2023. május 31. 15:40

Itt a legnagyobb webáruházak rangsora

2023. május 23. 20:10

Új fizetési kapu magyar e-kereskedőknek

2023. május 18. 12:49

Nem törődünk eléggé online adataink védelmével

2023. május 8. 15:39