De Luxemburgse beveiligingsonderzoeker Thierry Zoller heeft een fout in de werking van verschillende virusscanners ontdekt, waardoor malware wordt doorgelaten. De virusscanners van Fortinet, NOD32, Bitdefender en Avast gaan niet goed om met archiefbestanden. Door malware in een geprepareerd bestand in te pakken, kan de anti-virus software de inhoud niet scannen en bereikt die uiteindelijk de desktop van de gebruiker. Met name voor bedrijven die virusscanners op de gateway gebruiken, kunnen de gevolgen behoorlijk zijn.

Zoller had anti-virusbedrijven al eerder gewaarschuwd voor problemen met archiefbestanden, waarop ontwikkelaars besloten om het blokkeren van dit soort bestanden aan hun virusscanner toe te voegen. Volgens de Luxemburger is het probleem waar hij nu voor waarschuwt niet hetzelfde als het toevoegen van een wachtwoord aan een ZIP-bestand. Scanners kunnen archiefbestanden met wachtwoorden herkennen, maar een bestand waarvan ze de inhoud niet kunnen scannen wordt gewoon doorgelaten. Zolang er op de desktop een virusscanner aanwezig is, kan die bij het uitpakken van het archiefbestand in principe wel alarm slaan.

Geen reactie
Voor de bug in de virusscanner van BitDefender had hij slechts tien minuten nodig om het probleem te vinden, terwijl het schrijven van de advisory en waarschuwen van de vendor twee uur kostte. De Roemeense virusbestrijder had het probleem binnen een dag verholpen. Bij Fortinet en Avast ging het er geheel anders aan toe. Daar wacht Zoller nog altijd op antwoord, ondanks herhaaldelijke pogingen. Hij heeft de beveiligers twee weken extra gegeven, maar zal dan zijn proof-of-concept exploit code onthullen. NOD32 reageerde "goed genoeg" en zou binnen twee weken met een update komen.