OS X antivirusohjelmissa kehno toteutus

[securapple]

Hei!

"osxreverser" kommentoi twitterissä tehneensä testejä erilaisilla OS X antivirusohjelmistoilla(pl. Norton) ja pettyneensä tapaan joilla
OS X antivirusohjelmat vahtivat omien moduuliensa toimintaa ja eheyttä (kuten lähes kaikki windows AV-ohjelmat tekevät).

Ainoastaan ESET yritti edes jollain tapaa vaikeuttaa AV-prosessien tarkastelua.

Johtopäätöksenä tästä on, että on hyvin helppoa tehdä haittaohjelma joka automaattisesti joko sammuttaa AV-ohjelmistot ennen tartuntaa tai muuttaa AV-ohjelmistojen toimintaa etteivät ne havaitse haittaohjelmia.

OS X:n tukema tapa tehdä haittaohjelmatarkistusta( Technical Note TN2127 – Kernel Authorization) perustuu suositusten mukaan vain kahteen eri menetelmään joihin voidaan liittää "haitta KEXT" joka sitten palauttaa haluttujen tiedostojen AV-tarkastuksessa puhdasta.

"osxreverser" koodasi itse tuollaisen "haittakextin" ja testasi sillä AV-ohjelmia jotka eivät asennuksen jälkeen löytäneet mitään.
Tämä ohjelman voi ladata netistä AV-monster -nimellä.

Toivottavasti nuo AV-toimittajat reagoivat tähän jollakin tavalla. Sinänsä tuollaisessa kext:ssä ei ole mitään ihmeellistä, toiminta on juuri samanlainen kuin winkkarin vastaavissa haittakernel -lisäosissa.

Lähde : http://reverse.put.as/2012/02/13/av-mon ... -software/

-Securapple