Une nouvelle faille corrigée sur l’antivirus Symantec

Par Xavier Poli, secuobs.com
Le 20/01/2006

---

Résumé : L’éditeur américain a annoncé la sortie d’une mise à jour corrigeant une fonctionnalité de son logiciel Systemworks qui permettait de dissimuler des fichiers au sein d’un système en utilisant des techniques de type rootkit. - Lire l'article



Après une faille critique mise à jour le mois dernier au sein de la plupart de ses produits (un buffer overflow dans la décompression des fichiers rar), Symantec se retrouve de nouveau sur le devant de la scène pour une fonctionnalité qui permet de dissimuler des fichiers au sein d’un système.

Celle-ci a été découverte par l’éditeur d’antivirus concurrent F-Secure l’année dernière, ainsi que par Mark Russinovitch, l’éditeur du site Sysinternals qui avait mis à jour l'existence du rootkit de Sony BMG (affaire qui a donné depuis lieu à de nombreux rebondissements médiatiques et maintenant judiciaires). Un certains nombre de commentateurs ont d’ailleurs fait un parallèle entre cette nouvelle faille et l’affaire Sony.

En fait le problème vient de la fonctionnalité « Protected Recycle Bin » ou corbeille protégée, dans Norton SystemWorks. Les fichiers qui sont placés dans ce dossier spécial sont en fait situés dans un répertoire C:\Recycler\Nprotect, qui est caché à l’utilisateur en utilisant des techniques de type rootkit.

Ainsi, un fichier placé dans ce répertoire sera d’une part indétectable par l’utilisateur, mais aussi par la plupart des scanners antivirus. Cet emplacement peut donc être utilisé par un malware spécifique pour se dissimuler ; combinée avec la faille dans la décompression des fichiers .rar (publiée début décembre), elle pouvait servir à compromettre durablement les systèmes des utilisateurs des produits Symantec.

Normalement, cette fonction sert à créer des sauvegardes de certains fichiers supprimés par l’utilisateur, qui ne sont pas sauvegardés par la corbeille normale de Windows. A l’origine, l’éditeur explique que ce répertoire a été caché pour empêcher les utilisateurs d’effacer (une deuxième fois ?) ces fichiers.

Reste, que contrairement à Sony, cette fonction n’était pas cachée de l’utilisateur, mais documentée, et désactivable. Selon F-Secure, elle n’a été exploitée par aucun code malveillant.

Les utilisateurs des versions 2005 et 2006 de Norton Systemworks et Systemworks Premier peuvent mettre à jour leur logiciel en cliquant sur LiveUpdate (mise à jour automatique) et en redémarrant leur système.

http://securityresponse.symantec.com/avcenter/security/Content/2006.01.10.html