Google’s hackers betrappen Symantec op gevaarlijke blunders in antivirussoftware

Symantec is een van de bekendste verdelers van antivirussoftware, met producten voor zowel consumenten, onder het merk Norton, en bedrijven. De populaire diensten werden in mei op de proef gesteld door Google’s team van ethische tophackers. Conclusie? Symantec heeft een paar kemels van formaat in zijn security-suite.

Project Zero

Google bracht het team van beveiligingsspecialisten in 2014 bijeen om zeroday-lekken op te sporen in bekende software. Het initiatief kreeg de naam Project Zero. Eventuele kwetsbaarheden in de software worden doorgespeeld aan de ontwikkelaar, en slechts bekendgemaakt als er een patch beschikbaar is, of als er 90 dagen zijn gepasseerd zonder oplossing.

“Erger kan niet”

De reeks kwetsbaarheden in de Symantec-software werden eind vorige maand op het web gegooid. Ze werden beschreven als extreem gevaarlijke lekken: “Ze hebben geen gebruikersinteractie nodig, ze beïnvloeden de standaardconfiguratie en de software draait op het hoogst mogelijke privilege-niveau.”

Daarnaast ontdekte het team dat een deel van de zwakke code ook in de kernel werd geladen, wat kan leiden tot remote kernel memory corruption. Door gebruik te maken van deze lekken, kan een hacker de controle nemen over een computer, of “een complete fleet”, schrijft Project Zero-lid Tavis Omandy in de blogpost. Het zou volgens de expert genoeg zijn om een kwaadaardig bestand te ontvangen via mail om het systeem in gevaar te brengen; op het bestand klikken is zelfs niet nodig.

Een groot deel van Symantecs producten zijn getroffen door deze kwetsbaarheden, waaronder Symantec Endpoint Protection, Symantec Email Security, Symantec Protection Engine, en Symantec Protection for SharePoint Servers.

Updates

Symantec heeft inmiddels in ijltempo de nodige updates uitgebracht. Ze raden aan om de patches zo snel mogelijk te toe te passen, aangezien sommige producten niet automatisch kunnen worden geüpdatet. Tot dan blijven de systemen kwetsbaar voor aanvallen.