Phát hiện lỗ hổng bảo mật trong nhiều phần mềm chống virus

Theo RACK911, các lỗ hổng này có thể bị kẻ tấn công khai thác, vô hiệu hóa các cảnh báo bảo mật và xóa các tệp được sử dụng bởi phần mềm chống virus hoặc hệ điều hành, dẫn đến hệ thống máy tính gặp sự cố và không thể sử dụng được, sau đó cài đặt phần mềm độc hại. Lỗ hổng này được biết đến với tên gọi “cuộc đua symlink”.

Trong một báo cáo được công bố trong tuần này, nhóm RACK911 cho biết, họ đã nghiên cứu các lỗ hổng bảo mật trong các phần mềm chống virus kể từ năm 2018.

Một số chương trình phần mềm chống virus phổ biến hiện nay đã từng hoặc đang bị lỗ hổng bảo mật này, bao gồm: Avast Anti-Virus, BitDefender, Kaspersky, McAfee… Hầu hết các chương trình này đều có trên cả ba nền tảng hệ điều hành đó là Linux, Mac và Windows.

Các nhà nghiên cứu của RACK911 cho rằng, các chương trình chống virus dễ bị tấn công bởi các loại tấn công này, do cách chúng hoạt động rất đặc biệt. Hacker sử dụng việc thay thế tệp tin độc hại bằng một liên kết tượng trưng để tạo thành một tệp hợp pháp trong suốt thời gian từ khi các tệp tin được quét để phát hiện virus và loại bỏ nó.

Các nhà nghiên cứu của RACK911 đã tạo ra các kịch bản bằng các tập câu lệnh (symlink) để liên kết các tệp tin độc hại với các tệp tin hợp pháp thông qua các mối nối thư mục (trên Windows) và các liên kết tượng trưng (trên Mac và Linux). Khi phần mềm chống virus phát hiện tệp tin độc hại và loại bỏ nó, mặc định sẽ xóa luôn các tệp tin quan trọng liên quan đến phần mềm chống virus khiến nó giảm hiệu quả và thậm chí xóa luôn các file hệ thống gây ra các lỗi nghiêm trọng và buộc người dùng phải cài đặt lại hệ điều hành.

Hiện tại, phần lớn các lỗ hổng mà RACK911 tìm thấy trong các phần mềm chống virus đã được sửa lỗi và đã có bản vá mới nhất. Các lỗ hổng “symlink” là một trong những lỗi lâu đời nhất và khó nhất trong các ứng dụng trong nhiều thập kỷ qua, trên tất cả các hệ điều hành và người dùng cần cập nhật liên tục những bản vá mới nhất của phần mềm chống virus.