Эксперт Google Project Zero Тевис Орманди (Tavis Ormandy) известен тем, что любит находить баги в продуктах разработчиков антивирусных решений. Ранее Орманди уже прошелся по программам компаний Avast, AVG, Malwarebytes, Trend Micro и FireEye. Также Орманди совсем недавно критиковал компанию Comodo за ее «защищенный» браузер. Новое разоблачение исследователя снова касается продуктов Comodo, теперь эксперт обнаружил, что компания устанавливает на компьютеры пользователей VNC-сервер для осуществления удаленной технической поддержки.
GeekBuddy – инструмент для удаленного управления рабочим столом. Сотрудники Comodo используют данное приложение для оказания удаленной технической поддержки пользователям. Но Орманди пишет, что GeekBuddy, по сути, является опасным бэкдором, который можно эксплуатировать с недобрыми намерениями.
Орманди не преувеличивает. Первая версия GeekBuddy вообще не требовала никакого пароля. Получить удаленный доступ к ПК пользователя мог любой желающий, достаточно было подобрать верное сочетание IP:port. Более новые версии приложения уже защищены паролем, однако эксперт пишет, что этот пароль ненадежен и его крайне легко узнать, скомпрометировав данные, хранящиеся в реестре Windows.
Орманди опубликовал простой эксплоит из трех строк, позволяющий извлечь SHA1 машины жертвы, вырезать первые 8 символов и передать их атакующему.
Еще в январе 2016 года эксперт сообщил о проблеме разработчикам Comodo, и на днях компания устранила баг, выпустив GeekBuddy 4.25.380415.167.
Орманди пишет, что вместе с Comodo Antivirus, Comodo Firewall и Comodo Internet Security распространяется программа GeekBuddy. Первыми ее появление заметили сами пользователи, обратившие внимание, что на их машинах появился некий VNC-сервер. Орманди решил заняться расследованием происходящего.Comodo Internet Security installs a VNC server with predictable password by default. https://t.co/HQXVeKgMLT ¯_(ツ)_/¯
— Tavis Ormandy (@taviso) February 18, 2016
GeekBuddy – инструмент для удаленного управления рабочим столом. Сотрудники Comodo используют данное приложение для оказания удаленной технической поддержки пользователям. Но Орманди пишет, что GeekBuddy, по сути, является опасным бэкдором, который можно эксплуатировать с недобрыми намерениями.
Орманди не преувеличивает. Первая версия GeekBuddy вообще не требовала никакого пароля. Получить удаленный доступ к ПК пользователя мог любой желающий, достаточно было подобрать верное сочетание IP:port. Более новые версии приложения уже защищены паролем, однако эксперт пишет, что этот пароль ненадежен и его крайне легко узнать, скомпрометировав данные, хранящиеся в реестре Windows.
Так как GeekBuddy устанавливается с полными привилегиями администратора, атакующий, подключившийся к машине жертвы через данное приложение, получит абсолютный контроль над системой.«Пароль – это просто первые 8 символов SHA1 (Disk.Caption + Disk.Signature + Disk.SerialNumber + Disk.TotalTracks)», — объясняет эксперт.
Орманди опубликовал простой эксплоит из трех строк, позволяющий извлечь SHA1 машины жертвы, вырезать первые 8 символов и передать их атакующему.
Еще в январе 2016 года эксперт сообщил о проблеме разработчикам Comodo, и на днях компания устранила баг, выпустив GeekBuddy 4.25.380415.167.
Пт Май 12, 2017 9:09 pm автор Admin
» Шифровальщик CryptXXX 3.0 обезвредили!
Пт Дек 23, 2016 11:43 pm автор Admin
» Вымогатель Kangaroo блокирует пользователям доступ к Windows
Вт Ноя 29, 2016 12:41 am автор Admin
» Microsoft заявляет, что новую 0-day уязвимость в Windows используют хакеры из Fancy Bear
Ср Ноя 02, 2016 3:05 am автор Admin
» 360 Total Security 8.8.0.1083 [Multi/Ru]
Пн Окт 24, 2016 10:06 pm автор Admin
» SecureAPlus Freemium 4.3.3 [Multi/Ru]
Пт Окт 21, 2016 11:31 pm автор Admin
» GridinSoft Anti-Malware [Multi/Ru] - антивирусная утилита!
Пн Авг 15, 2016 12:54 am автор Admin
» Новый вариант трояна Kovter маскируется под обновления для Firefox
Пт Июл 08, 2016 4:14 am автор Admin
» Эксперт представил способ похищения данных через кулер компьютера
Пт Июн 24, 2016 5:24 am автор Admin