// HEISE ONLINE — CYBERSECURITY
Windows-Defender-Treiber hebelt Windows-Sicherheitsmechanismen aus
Der Windows Defender Boot-Time Removal-Treiber öffnet Angreifern weitreichende Möglichkeiten, Systeme zu kompromittieren.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Die IT-Sicherheitsforscher von Check Point sind bei der Untersuchung eines infizierten Systems auf den Treiber Windows Defender Boot-Time Removal (BTR.sys) gestoßen, der zunächst verdächtiges Verhalten zeigt. Damit soll der Treiber eigentlich beispielsweise Schadcode beim Neustart unschädlich machen. Er lässt sich aber von Angreifern auch zum Kompromittieren des Systems einspannen.
Das erörtert Check Point in einer ausführlichen Analyse. Den Analysten fiel auf, dass ein Treiber unter „System32\drivers“ mit einer zufälligen Zeichenkette als Namen auftaucht und damit im Registry-Zweig „HKLM\SYSTEM\CurrentControlSet\Services\“ verankert. Der Treiber wird kurz vor einem Neustart dort abgelegt, ein Eintrag in der Registry zum Starten eines Dienstes erzeugt, dabei setzt der Treiber zudem auf RC4-Verschlüsselung und Alternative Datenströme (ADS) des NTFS-Dateisystems, wobei Interaktion mit dem Datenstrom „:changelist“ der Treiberdatei erfolgt. Nach der Ausführung entrümpelt der Treiber zudem diese Einträge.
Was wie typisches Malware-Verhalten aussieht, stammt jedoch regulär vom Malwareschutz Microsoft Defender. Der Treiber „BTR.sys“ ist in der Datei „MpEngine.dll“ enthalten und wird mit den zufälligen Namen bei Bedarf auf das Laufwerk verfrachtet. Er wird beim Neustart aufgerufen, um etwa gesperrte oder genutzte Dateien zu entfernen. Check Point listet als Funktionen das Löschen von Dateien, Verzeichnissen oder das Verschieben in Quarantäne-Ordner auf. Das kann der Treiber nicht nur mit Dateien, sondern auch mit Registry-Einträgen erledigen.
Die Malware-Forscher haben ein Tool für die Eingabeaufforderung geschrieben, mit dem sie den Missbrauch des BTR.sys-Treibers demonstrieren. Auf GitHub stellen sie sogar den Quellcode zur Ansicht bereit. Sie führen als Angriffsszenario insbesondere das Deaktivieren von Schutzsoftware auf. Das ist auch jetzt noch damit möglich. Check Point hat das Verhalten im Rahmen von Responsible Disclosure an Microsoft gemeldet, das Unternehmen sieht jedoch keine Not, rasch Abhilfe zu schaffen – da der Angriff Administratorrechte benötige. Die sind jedoch in der Regel einfach zu erlangen, da Windows nach wie vor zahlreiche Schwachstellen enthält, die bösartige Akteure zur Rechteausweitung missbrauchen können. An jedem einzelnen Patchday schließt Microsoft zahlreiche Schwachstellen dieses Typs, was bedeutet, dass da auch weiterhin welche zu erwarten sind.
Angreifer können den Microsoft Defender daher im Rahmen von Living off the Land (LotL) vorerst weiterhin auf mächtige Windows-Bordmittel setzen. Check Points IT-Forscher stellen einige mögliche Gegenmaßnahmen vor wie die konsequente Rechtebeschränkung auf die minimal nötigen Rechte für alle Personen und Dienste, sodass es schwieriger wird, an Adminrechte zu gelangen. Das Erstellen von Verhaltensregeln für das EDR-System soll ebenso helfen wie eine ganzheitliche Verteidigung vor LOLDriver. Dazu reicht die Microsoft Vulnerable Driver Blocklist (WDAC) nicht aus, sondern erfordert eine Überwachung des Kontexts, in dem Treiber geladen und ADS erzeugt werden. Die IT-Sicherheitsforscher schreiben jedoch auch, dass die erkannte Schwachstelle bislang noch nicht in freier Wildbahn missbraucht wird.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.