Bösartige Treiber: Microsofts Probleme sind viel größer als gedacht

Das Ausmaß von Microsofts Problemen mit bösartigen Treibern könnte weit über das hinausgehen, was bisher vermutet wurde. Die Si­cher­heits­architektur der Windows-Betriebssysteme enthält Aus­nah­me­re­ge­lungen, die Angreifern praktisch einladen, Schadcode einzuspeisen.

Nur die Spitze des Eisberges

Das Microsoft ein Treiberproblem hat, wurde in der vergangenen Woche deutlich. Das Unternehmen sorgte erst einmal dafür, dass hunderte Treiber gesperrt wurden, bei denen sich bösartige Akteure den Zugang zu digitalen Signaturen erschlichen hatten, um ihre Malware unter Umgehung aller Schutzmaßnahmen tief in Windows-Installationen zu platzieren.

Sicherheitsforscher der Cisco Talos Intelligence Group verwiesen allerdings darauf, dass die Maßnahmen Microsofts nur einen Teil des Problems lösen. Denn es gibt noch einen anderen, wesentlich einfacheren und häufiger genutzten Weg, Treiber mit integrierten Schadcodes in Windows-Systeme zu bringen. Denn das Betriebssystem achtet unter bestimmten Voraussetzungen gar nicht so sehr darauf, dass eine korrekte Signierung vorliegt. Hintergrund dessen ist das andauernde Bestreben Microsofts, maximal abwärtskompatibel zu teilweise uralter Software zu sein.

Tools vorhanden

Beginnend mit Windows 10, Version 1607, verlangt Microsoft, dass Kernel-Mode-Treiber von seinem Entwicklerportal signiert werden. "Dieser Prozess soll sicherstellen, dass die Treiber die Anforderungen und Sicherheitsstandards Microsofts erfüllen", erklärte der Forscher Chris Neal. Dennoch gibt es Ausnahmen - vor allem eine für Treiber, die mit Zertifikaten signiert sind, die vor dem 29. Juli 2015 abgelaufen sind oder ausgestellt wurden.

Wenn also ein neu kompilierter Treiber mit nicht widerrufenen Zertifikaten signiert ist, die vor diesem Datum ausgestellt wurden, wird er nicht blockiert. Inzwischen sind in der Malware-Szene verschiedene Tools im Umlauf, mit denen sich diese Lücke in der Sicherheitsarchitektur ausnutzen lässt - die beiden meistgenutzten heißen FuckCertVerifyTimeValidity und HookSignTool.

Handarbeit nötig

Diese Anwendungen machen es möglich, einen Treiber mit einer alten Signatur zu versehen und so wirken zu lassen, als handle es sich um ein altes Stück Software. In solch einem Fall schauen die Windows-internen Sicherheitswächter nicht mehr so genau hin. Laut den Forschern gehe die Zahl der entsprechend signierten Treiber in die Tausende und Microsoft bleibt im Grunde nichts anderes übrig, als die Zertifikate jeweils einzeln für ungültig zu erklären, wenn sie entdeckt werden.


Siehe auch: