O pesquisador do Google Tavis Ormandy está analisando a segurança de programas antivírus e anunciou na semana passada que enviará um relatório para a fabricante de antivírus Avast. A empresa é a terceira a receber um comunicado sobre brechas de Ormandy este ano: as outras duas foram a Eset e a Kaspersky Lab e, em ambos os casos, os antivírus tinham brechas críticas.
Ormandy está realizando o estudo como parte do “Projeto Zero” do Google, que busca identificar vulnerabilidades em programas populares, independentemente do fabricante do software.
No caso do antivírus Eset, a brecha foi divulgada e corrigida em junho. Para explorar o problema, bastava enviar um e-mail para um usuário do antivírus. Assim que a mensagem fosse lida pelo antivírus, o programa executaria um código contido na mensagem, infectando o computador da vítima.
O antivírus da Kaspersky tem brechas semelhantes. Parte dos problemas já foi corrigida, mas alguns erros ainda estão em aberto e os detalhes técnicos não foram divulgados. Esses erros teriam relação com a proteção em rede oferecida pelo programa.
Apesar de algumas falhas ainda em aberto, Ormandy elogiou a resposta rápida da Kaspersky para adicionar barreiras que dificultam a exploração das brechas. Em um informativo publicado em seu site, a Kaspersky Lab diz que “agradece o Sr. Tavis Ormandy pela sua pesquisa. A Kaspersky Lab sempre apoiou a avaliação de nossas soluções por especialistas independentes. Seus esforços nos ajudam a fazer nossas soluções melhores, mais produtivas e confiáveis”.
A falha do Avast, a mais recente, ainda não foi detalhada. Ormandy disse apenas que o problema se encontra no processamento de certificados digitais X.509, usados no acesso a sites seguros (HTTPS ou SSL).
Ormandy, conhecido por causar polêmica, ironizou as falhas no Twitter. “Sério, Avast? Se você vai interceptar o SSL do Chrome, pelo menos mande um estagiário conferir o processamento de X.509 antes de lançar o produto”. O pesquisador diz que interceptar esse tráfego é uma “má ideia”.
Defendendo a decisão do antivírus de interceptar o tráfego a sites seguros, Jindrich Kubec, diretor de inteligência de ameaças da Avast, retrucou: “Vocês [pesquisadores de segurança] só enxergam a superfície de ataque [meios pelos quais um programa pode ser atacado], mas não a proteção contra outros ataques”.
Ormandy destacou que os programas antivírus possuem falhas de projeto ao interferirem com componentes do sistema e realizar a leitura de todos os arquivos automaticamente sem utilizar tecnologias que reduzem o impacto de brechas no software. Ele também citou que falhas em antivírus são vendidas no mercado negro de vulnerabilidades.
Do G1
