Windows Patch-Day hilft allein nicht gegen gefährliches UEFI-Bootkit

Microsoft hat im Nachgang zum Mai Patch-Day für Windows 10, Windows 11 und Windows Server einen Leitfaden für anfällige Boot-Manager veröffentlicht. Erläutert wird, wie man mit der BlackLotus genannten UEFI-Sicherheitslücke umgehen kann.
Windows 10, Update, Sicherheit, Patch, Performance, Fehlerbehebung, Patch Day, Bugfix, Windows 10 Update, Sicherheits-Update, Performance Update, Windows 10 Patch
Mit diesem Patch-Day hat Microsoft endlich reagiert und versucht nun bösartige Bootloader wie die BlackLotus-Malware per Update auszusperren. Seit Monaten ist die Sicherheitslücke bekannt, die das erste jemals entdeckte UEFI-Bootkit hervorbrachte.

Ein Bootkit ist im Grunde ein bösartiger Windows-Bootmanager. Er klinkt sich ganz am Start des Windows-Systems ein und sperrt Gegenmaßnahmen. Mit dem Update ist es daher leider noch nicht wieder vorbei mit der Gefahr. Was die neuen Windows-Updates machen, ist die Sicherheitslücke zuschließen, mit der das UEFI-Bootkit in die Systeme eindringen und dann Sicherheitssoftware wie den Defender aushebeln kann. Einem bereits kompromittierten System hilft das aber nicht weiter.

Ankündigung Rücknahme Bootmanager

"Die verbleibende Schwachstelle besteht darin, dass ein Angreifer mit administrativen Rechten oder physischem Zugriff auf das Gerät den Bootmanager auf eine Version ohne die Sicherheitsbehebung zurücksetzen kann. Diese Rollback-Schwachstelle wird von der BlackLotus-Malware genutzt, um Secure Boot zu umgehen, das in CVE-2023-24932 beschrieben wird. Um dieses Problem zu beheben, werden wir die anfälligen Bootmanager zurückziehen."

Wie man einen BlackLotus UEFI-Bootkit-Angriff auf dem eigenen Rechner erkennen kann, haben wir bereits in einem Beitrag erläutert.

Microsoft erklärt jetzt, dass der Patch die erste Phase der Bereitstellung des Sicherheitsupdates markiert. Dazu wurde nun nachträglich ein Leitfaden (KB5027455) veröffentlicht, in dem beschrieben wird, wie man anfällige Windows-Bootmanager oder Bootkits blockieren kann. Dieser Supportbeitrag steht bei Microsoft nur in Englisch zur Verfügung. Daher haben wir einen Teil für euch übersetzt und am Ende des Beitrags angefügt.

Liste nur begrenzt

Laut dem Windows-Team enthält die Secure Boot DBX-Liste bereits einige der anfälligen UEFI-Anwendungs-Binärdateien. Sie verfügt jedoch nur über eine begrenzte Speicherkapazität, da sie sich im Flash-Speicher der Firmware befindet. Daher kann auch die DBX- oder UEFI-Sperrliste nur eine begrenzte Anzahl solcher Dateien enthalten. Die Secure Boot Forbidden Signature Database oder DBX ist die nun wichtig gewordenen Sperrliste für UEFI-Programme, die als schädlich eingestuft wurden.

Anstatt sich nur auf die Secure Boot DBX zu verlassen, rät Microsoft daher zur Verwendung einer ebenfalls überarbeiteten Windows Defender Application Control (WDAC)-Richtlinie, die in Windows 10 und Windows 11 verfügbar ist. Details zur Erstellung der UEFI-Sperrrichtlinien findet man ebenfalls in dem Leitfaden.

KB5027455: Anleitung zum Blockieren, weitere Informationen

Eine Methode, um zu verhindern, dass anfällige EFI-Binärdateien von der Firmware geladen werden, besteht darin, Hashes der anfälligen Anwendungen in die UEFI Forbidden List (DBX) aufzunehmen. Die DBX-Liste wird im von der Firmware verwalteten Flash des Geräts gespeichert. Die Einschränkung dieser Blockierungsmethode ist der begrenzte Flash-Speicher der Firmware, der für die Speicherung der DBX zur Verfügung steht. Aufgrund dieser Einschränkung und der großen Anzahl von Bootmanagern, die blockiert werden müssen Windows-Bootmanager aus den letzten 10+ Jahren), ist es nicht möglich, sich bei diesem Problem ausschließlich auf die DBX zu verlassen.

Für dieses Problem haben wir eine hybride Methode zum Blockieren der anfälligen Bootmanager gewählt. Nur einige wenige Bootmanager, die in früheren Windows-Versionen veröffentlicht wurden, werden dem DBX hinzugefügt. Für Windows 10 und spätere Versionen wird eine Windows Defender Application Control (WDAC)-Richtlinie verwendet, die anfällige Windows-Bootmanager blockiert.

Wenn die Richtlinie auf ein Windows-System angewendet wird, "sperrt" der Bootmanager die Richtlinie für das System, indem er eine Variable zur UEFI-Firmware hinzufügt. Windows-Bootmanager beachten die Richtlinie und die UEFI-Sperre. Wenn die UEFI-Sperre vorhanden ist und die Richtlinie entfernt wurde, wird der Windows-Bootmanager nicht gestartet. Wenn die Richtlinie vorhanden ist, wird der Bootmanager nicht gestartet, wenn er durch die Richtlinie blockiert wurde.

Zusammenfassung
  • Microsoft reagiert auf BlackLotus-Malware: Update schließt Sicherheitslücke
  • Leitfaden (KB5027455) bietet Informationen zur Blockierung anfälliger Bootmanager
  • Secure Boot DBX-Liste enthält begrenzte Anzahl schädlicher Dateien
  • Microsoft rät zur Verwendung von Windows Defender Application Control
  • Erstellung der UEFI-Sperrrichtlinien in Leitfaden beschrieben
  • Kompromittierte Systeme nicht vor Gefahr geschützt

FAQ zu Windows 11 Anleitungen, Tipps und Tricks Windows 10 FAQ Alle Fragen umfassend beantwortet Siehe auch:
Jetzt einen Kommentar schreiben


Alle Kommentare zu dieser News anzeigen
Jetzt als Amazon Blitzangebot
Ab 07:50 Uhr Asort Led Taschenlampe, Extrem Hell Type-C Aufladbar Taschenlampen,Zoombare 6 Modi IPX67 Wasserdicht Torch fur Camping, Wandern oder Nachtsport(mit Kinder Taschenlampe)Asort Led Taschenlampe, Extrem Hell Type-C Aufladbar Taschenlampen,Zoombare 6 Modi IPX67 Wasserdicht Torch fur Camping, Wandern oder Nachtsport(mit Kinder Taschenlampe)
Original Amazon-Preis
25,99
Im Preisvergleich ab
?
Blitzangebot-Preis
24,40
Ersparnis zu Amazon 6% oder 1,59
Beiträge aus dem Forum
Tipp einsenden
❤ WinFuture unterstützen
Sie wollen online einkaufen? Dann nutzen Sie bitte einen der folgenden Links, um WinFuture zu unterstützen: Vielen Dank!