Vem skyddar skyddet? Anonym forskare avslöjar allvarliga brister hos Avast, CrowdStrike och Nvidia

När skyddet självt behöver skyddas

Det finns något nästan paradoxalt med den här nyheten. De programvaror som miljontals användare och företag förlitar sig på för att hålla angripare borta – de är själva sårbara. Den anonyme säkerhetsforskaren som går under pseudonymen Nightmare Eclipse har publicerat tre nya nolldagssårbarheter, riktade mot Avast, CrowdStrike och Nvidia. Det rapporterar SecurityWeek, och oberoende säkerhetsforskaren Kevin Beaumont har bekräftat att angreppen är äkta.

Nightmare Eclipse är inte en obekant aktör. Forskaren har tidigare avslöjat brister i Microsofts produkter, och bara dagarna innan dessa tre publiceringar lyftes en sårbarhet i Kasperskys säkerhetsprogramvara fram – en brist som Kaspersky åtgärdade den 31 augusti. Tempot är högt och måltavlorna är noggrant utvalda.

Tre angrepp, tre olika angreppsvinklar

De tre sårbarheterna bär kodnamn som låter mer som operationstitlar ur en spionroman än tekniska rapporter, men bakom namnen döljer sig konkreta och allvarliga brister.

PrettyPrague riktar sig mot Avasts sandlådemiljö – den isolerade miljö där misstänkt programvara körs för analys utan att kunna skada resten av systemet. Bristen gör det möjligt att skapa en kommandotolk med fullständiga systembehörigheter, vilket i praktiken innebär att en angripare kan ta kontroll över maskinen inifrån själva skyddslagret. Moderbolaget GenDigital bekräftar att problemet även berör systervarumärkena AVG och Norton, men uppger att en rättelse redan distribuerats.

FalconFlank utnyttjar en brist i CrowdStrike Falcon Sensors hantering av skadliga makron i Office-dokument. Det är en ironisk svaghet – ett verktyg som är byggt för att upptäcka och stoppa avancerade angrepp visar sig ha en öppning i just den mekanism som ska hantera ett av de vanligaste angreppssätten. CrowdStrike bekräftar att man utreder uppgifterna och rekommenderar sina kunder att tills vidare inaktivera den berörda principinställningen i Windows.

GreenSection angriper en minnesskrivningsbrist i flera av Nvidias komponenter. Minnesskrivningsbrister är klassiska men farliga – de kan utnyttjas för att exekvera godtycklig kod. Nvidia har ännu inte kommenterat uppgifterna, vilket i sig är en signal att hanteringen sannolikt pågår internt.

Inte ett undantag – utan ett mönster

Det som gör det här scenariot värt att stanna upp inför är inte enbart de enskilda sårbarheterna. Det är vad de tillsammans illustrerar: säkerhetsprogramvara är en attraktiv måltavla. Precis för att dessa verktyg ofta körs med förhöjda systembehörigheter, har djup åtkomst till operativsystemet och är installerade i känsliga miljöer, är de eftertraktade för den som vill ta sig in.

Det är ett mönster vi sett växa under flera år. Angreppen mot SolarWinds 2020, där ett uppdateringspaket till ett systemövervakningsverktyg användes som språngbräda in i tusentals organisationer, var ett varningstecken som branschen tagit på allvar – men fortfarande kämpar med. Leverantörskedjans säkerhet, och säkerheten hos de verktyg som ska övervaka leverantörskedjan, är en öppen fråga.

För oss som bygger och förvaltar system är lärdomen tydlig: ingen komponent är per definition pålitlig enbart för att den är ett säkerhetsverktyg. Granskningskultur, nätverkssegmentering och principen om minsta möjliga behörighet gäller även för de program vi köper in för att hålla oss skyddade.

Att Nightmare Eclipse publicerar dessa brister öppet – och att oberoende experter som Kevin Beaumont verifierar dem – är egentligen det system som är tänkt att fungera. Ansvarsfull avslöjandepraxis, där sårbarheter uppmärksammas och leverantörer tvingas agera, är en av de starkaste mekanismerna vi har för att höja den samlade säkerhetsnivån. Att det gör ont för de drabbade företagen är en del av processen.