Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Projet Zero : un ingénieur de Google découvre une faille critique dans des produits ESET
Qui aurait pu entraîner la compromission du système

Le , par Stéphane le calme

0PARTAGES

0  0 
Plusieurs produits antivirus de la firme de sécurité ESET comportaient une vulnérabilité critique qui aurait pu entraîner une compromission du système tout entier. Un système compromis pourrait par exemple permettre la lecture, la modification ou la suppression de n’importe quel fichier sur le système indépendamment du niveau d’accréditation d’accès, l’installation de n’importe quel programme ou rootkit, l’accès à des composantes matérielles comme la caméra ou le micro, la consultation du journal d’activité du système, etc. La découverte de cette faille, désormais colmatée, a été faite par Tavis Ormandy, un ingénieur de l’équipe de sécurité de Google affectée au Projet Zero.

Ormandy rappelle que plusieurs produits antivirus embarquent des capacités d’émulation qui sont destinés à permettre aux exécutables compressés d’être lancés pendant quelques cycles avant que les signatures ne soient appliquées. « Des attaquants peuvent provoquer des E / S via navigateur web, Email, Messagerie Instantanée, partage de fichier, stockage sur le réseau, USB ou des centaines d’autres vecteurs. A chaque fois qu’un message, un fichier, une image ou toute autre donnée est reçue, il est probable que certaines données non fiables traversent le disque. Parce qu’il est si facile pour les attaquants de déclencher une émulation du code non fiable, il est extrêmement important que l’émulateur soit robuste et isolé », précise-t-il.

« Malheureusement, l’analyse de l’émulation d’ESET révèle que ce n’est pas le cas et qu’il peut être facilement compromis », continue-t-il. Dans une FAQ, il explique que toutes les plateformes sont affectées étant donné que « les signatures d’ESET sont du code exécutable qui sont décompressés dans l’environnement d’exécution depuis des fichiers DAT et NUP puis chargés comme modules », rappelant par la suite que les fichiers DAT sont partagés sur toutes les plateformes et versions.

Parmi les produits affectés figurent : ESET Smart Security for Windows, ESET NOD32 Antivirus for Windows, ESET Cyber Security Pro for OS X, ESET NOD32 For Linux Desktop, ESET Endpoint Security for Windows et OS X et enfin ESET NOD32 Business Edition.

Ce n’est pas la première fois que les chercheurs en sécurité trouvent de sérieuses vulnérabilités dans les produits antivirus. En 2012, Ormandy avaient repéré des vulnérabilités critiques dans Sophos Antivirus et l'année dernière il a trouvé une faille qui pourrait être exploitée pour désactiver à distance le moteur de protection utilisé dans de nombreux produits antimalwares de Microsoft. En 2014 également, Joxean Koret, chercheur à COSEINC, a trouvé des dizaines de vulnérabilités exploitables localement et à distance dans 14 moteurs antivirus. Plus tôt ce mois-ci, un rapport publié par le groupe de sécurité Kaspersky Labs indiquait que leurs serveurs ont été infectés depuis plusieurs mois par un malware furtif extrêmement persistant baptisé Duqu 2.0 et dont le but est de voler des informations tout en gardant un profil bas pour masquer sa présence.

Il faut dire que, contrairement à d'autres applications, les programmes antivirus peuvent présenter une très grande surface d'attaque dans la mesure où ils ont besoin d'inspecter de nombreux types de fichiers et parfois du code indépendamment du langage et de la source.

Si durant les années précédentes nous avons observé une volonté de limiter les privilèges d’accès d’applications largement utilisées (comme Google Chrome ou Adobe Reader qui utilisent des mécanismes de sandboxing), les produits antivirus quant à eux ont besoin d’être exécutés avec des privilèges d’accès élevés pour pouvoir effectivement combattre les menaces et potentielles menaces. Raison pour laquelle Carsten Eiram, chef de la recherche pour le compte de Risk Based Security, estime qu’il est très important que leur code soit solide. Il avance que 2,5% des failles observées par son entreprise l’année dernière sont issues de produits de sécurité parmi lesquels des programmes antivirus.

Des failles qui peuvent ne pas intéresser uniquement des pirates puisque le quotidien The Intercept révèle que la NSA et son homologue britannique ont usé de reverse engineering sur des produits de sécurité pour contourner leur détection, surveiller le trafic web et récolter des informations sur les utilisateurs.

Source : Google Project Zero, The Intercept

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Mouke
Membre averti https://www.developpez.com
Le 26/06/2015 à 10:58
Citation Envoyé par cuicui78 Voir le message
jamais entendu parlé de ESET. pub indirecte ?
C'est l'éditeur de Nod32, il est assez connu comme antivirus.
2  0 
Avatar de Aiekick
Membre extrêmement actif https://www.developpez.com
Le 26/06/2015 à 10:41
jamais entendu parlé de ESET. pub indirecte ?
0  0 
Avatar de ESET_France
Candidat au Club https://www.developpez.com
Le 01/07/2015 à 10:37
Bonjour,

Le 22 Juin 2015, ESET a publié une mise à jour qui corrige une vulnérabilité dans le moteur d’analyse liée à l'émulation de code. Cette dernière n'a pas affecté le noyau du moteur d'émulation.
Au moment de la notification, ce code n’était déjà plus présent dans notre moteur beta (pré
-version). Depuis, le correctif est distribué à travers des mises à jour automatiques régulières.
Veuillez donc vous assurer que votre base de données de signatures de virus est à jour. Tous les produits, dont la version de base de données de signatures de virus est
supérieure à 11824, ne contiennent pas la vulnérabilité.

Plus d’infos sur : http://kb.eset.com/esetkb/index?page...ewlocale=fr_FR

Merci,

L'équipe ESET France
0  0 
Avatar de papy88140
Membre habitué https://www.developpez.com
Le 05/07/2015 à 10:51
pas très connu mais fort efficace et léger !

je ne compte plus les machine sous avira / msse / avast / avg qu'on a dépolluées avec Eset ...
Son point fort c'est la détection des lpi (une vraie plaie ces programmes parasites)

à tester !
0  0