Defendnot: Tool trickst Windows aus, schaltet Microsoft Defender ab

Ein neues Tool namens Defendnot ermöglicht es, Windows Defender durch die Registrierung eines gefälschten Antivirenprogramms zu deaktivieren. Genutzt wird dabei eine undokumentierte Windows-API, was Fragen zur Sicherheit des Betriebssystems aufwirft.

Gefährliche Lücke im Windows Security Center

Ein Sicherheitsforscher hat eine beunruhigende Schwachstelle im Windows-Sicherheitssystem aufgedeckt. Das neue Tool "Defendnot" nutzt eine undokumentierte Schnittstelle des Windows Security Centers (WSC), um dem Betriebssystem vorzugaukeln, dass ein alternatives Antivirenprogramm installiert sei. Das führt wiederum dazu, dass Windows Defender sich automatisch deaktiviert.

Der Grund für dieses Verhalten liegt in der grundsätzlichen Windows-Architektur: Das System verhindert den gleichzeitigen Betrieb mehrerer Antivirenprogramme, um Konflikte zu vermeiden. Sobald eine alternative Antivirensoftware erkannt wird, schaltet sich Windows Defender automatisch ab.

Wie Bleeping Computer berichtet, umgeht Defendnot dabei die üblichen Sicherheitsvorkehrungen wie Protected Process Light (PPL) und digitale Signaturen, indem es seinen Code in den vertrauenswürdigen Windows-Task-Manager (Taskmgr.exe) einschleust. Diese Technik, bekannt als "Process Injection", ist ein häufig von Malware genutzter Ansatz, um Sicherheitsmechanismen zu umgehen.

Zweiter Anlauf nach Takedown

Bei Defendnot handelt es sich bereits um den zweiten Versuch des Entwicklers mit dem Pseudonym es3n1n. Sein vorheriges Projekt "no-defender" musste nach einer DMCA-Beschwerde zurückgezogen werden, da es Code eines Drittanbieter-Antivirenprogramms verwendete. Die neue Version wurde dagegen komplett neu entwickelt.

Das Tool nutzt die Tatsache aus, dass Windows seit Vista ein zentrales Security-Center implementiert hat, das den Status aller Sicherheitskomponenten überwacht. Diese Architektur sollte ursprünglich die Sicherheit verbessern, indem sie einen einheitlichen Überblick über alle Schutzmaßnahmen bietet. Ironischerweise wird genau diese Funktion nun ausgenutzt, um den Schutz zu schwächen.

Für zusätzliche Persistenz richtet das Tool einen automatischen Start über den Windows Task Scheduler ein, der bei jedem Login aktiviert wird. Diese Methode ist besonders problematisch, da sie sicherstellt, dass der Schutz auch nach einem Neustart deaktiviert bleibt.

Microsofts Reaktion

Microsoft hat bereits reagiert und klassifiziert Defendnot als Trojaner. Die aktuelle Version von Windows Defender erkennt die Software automatisch mithilfe von Machine-Learning-Algorithmen und setzt diese unter Quarantäne. Sicherheitsexperten weisen darauf hin, dass solche Tools zwar für Forschungszwecke entwickelt werden, aber leicht von Cyberkriminellen missbraucht werden können.

Die Veröffentlichung solcher Schwachstellen folgt einem kontroversen Prinzip der "verantwortungsvollen Offenlegung", bei dem Sicherheitslücken öffentlich gemacht werden, um Druck auf Hersteller auszuüben, diese schnellstmöglich zu beheben.

Was haltet ihr von solchen "Forschungsprojekten"? Überwiegt hier der Nutzen für die IT-Sicherheit oder die potenzielle Gefahr durch Missbrauch? Teilt eure Gedanken in den Kommentaren!


Siehe auch: