18 grudnia 2015 roku Tavis Ormandy, znany ostatnio jako „pogromca zabezpieczeń antywirusów” informuje czeskiego producenta Avast, jakoby jego „bezpieczna” przeglądarka SafeZone bazująca na projekcie Chromium posiadała poważną lukę, dzięki której napastnik mógłby uzyskać dostęp do historii przeglądanych stron internetowych, haseł i innych danych w niej przechowywanych.Podatność została zgłoszona, Avast miał czas na załatanie dziury, a Tavis Ormandy informuje o tym cały świat.
Co ciekawe, poufne dane z tej przeglądarki mogły zostać wykradzione nawet wtedy, kiedy ta nie była uruchomiona. Tavis przedstawił dowód koncepcji (and. proof of concept) pokazując, w jaki sposób potencjalny napastnik może odczytać dowolny plik w systemie, jeśli zmusi swoją ofiarę do kliknięcia w specjalnie przygotowany link. Nawet nie wymaga się od napastnika, by ten poznał szukaną nazwę pliku lub ścieżkę do pliku. Potencjalny przestepca w ramach ataku może wyświetlić strukturę plików, wysłać dowolne żądanie uwierzytelniania i zwrócić wynik zawartości ciasteczek, poczty elektronicznej z gmail, czy danych dotyczących bankowości internetowej.
Demo: https://lock.cmpxchg8b.com/xour2Iab/avastium_demo.html , które uzyskuje dostęp do dysku C:\ i wyświetla zawartość (musisz mieć zainstalowanego Avasta z SafeZone).
Avast podobno załatał już zgłoszoną lukę w wersji antywirusów 2016.11.1.2253.Na razie gorąco zalecamy, by nie korzystać z podobnych wynalazków firm antywirusowych.
Nie wiadomo, ilu jeszcze producentów wziął sobie Travis na ruszt. Może niedługo znowu będziemy świadkami kolejnego błędu w programie antywirusowym, które przecież powinien nas chronić, a nie dodatkowo stwarzać kolejną lukę w zabezpieczeniach?Jeżeli musicie, przelewy internetowe róbcie przy pomocy maszyny wirtualnej z systemem Linux lub zainstalujcie obraz ISO na nośniku USB / CD / DVD. Sprawdzajcie też dokładnie wiadomości SMS od banku – końcówkę konta bankowego oraz kwotę – musi się zgadzać z tym, co wprowadziliście w przeglądarce.
