Angriffsziel Microsoft Defender:
Eigener Treiber ist Sicherheitsrisiko

Forscher von Check Point Research haben auf der Black-Hat-Sicherheitskonferenz demonstriert, wie sich Microsoft Defender über einen eigenen, von Microsoft signierten Treiber umgehen lässt. Veränderungen auf tiefster Systemebene bleiben völlig unbemerkt.

Gefahr durch eigenen Treiber

Mit einer speziellen Technik können beliebige Datei- und Registrierungsoperationen auf Kernel-Ebene ausgeführt werden. Betroffen sind laut Check Point Research Windows-Systeme von Windows 7 bis Windows 11 25H2. Dabei wird keine externe Sicherheitslücke ausgenutzt und kein fremder Treiber importiert.

Bei der Komponente handelt es sich um das "Boot Time Removal Tool" (BTR.sys). Das Betriebssystem nutzt es normalerweise, um hartnäckige Schadsoftware während des Systemstarts zu entfernen.


Der IT-Sicherheitsforscher Jiri Vinopal entschlüsselte das proprietäre Protokoll des Treibers. Er stellte fest, dass die Konfigurationsdaten mit einem fest kodierten RC4-Schlüssel gesichert sind, der seit 15 Jahren unverändert ist. Das erleichterte die Analyse erheblich.

Wie Hacker News berichtet, umgehen Angreifer so die übliche Blockadeliste für anfällige Treiber. Mit einem von den Forschern entwickelten Werkzeug namens BTRCLI lässt sich der Treiber als Dienst registrieren. Das Programm führt anschließend Befehle im sogenannten Ring 0 aus, der tiefsten Systemebene. Die Technik erfordert keine externe Schadsoftware und bleibt von herkömmlichen Sicherheitssystemen unentdeckt, da der Treiber als vertrauenswürdig gilt.

Ausführung im goldenen Fenster

Die Befehle werden während eines bestimmten Zeitfensters beim Bootvorgang ausgeführt. In dieser Phase ist das Dateisystem bereits beschreibbar, die Benutzermodus-Dienste des Defenders sind jedoch noch nicht gestartet. Dadurch kann der Treiber kritische Sicherheitsdateien wie WdFilter.sys physisch löschen, bevor das System sie sperrt. Ein großer Nachteil für Angreifer ist jedoch, dass sie dafür bereits über Administratorrechte auf dem Rechner verfügen müssen.

Microsoft stuft das Verhalten nicht als akute Schwachstelle ein, die sofort behoben werden muss. Es handele sich vielmehr um eine architektonische "Systemgrenze". Ein Blockieren der Komponente würde zudem die Funktionsweise des Defenders stark einschränken. Bereits vor fünf Jahren stand der Treiber im Fokus, als eine ähnlich heikle Methode für eine Rechteausweitung entdeckt wurde. Der Treiber entzog sich lange der genauen Untersuchung, da er sich nach der Ausführung selbstständig löscht. Infografik Cybercrime: Zunehmende IT-Schwachstellen bedrohen Unternehmen

Hintergrund zum Ring 0

Das Konzept der Ringe in der IT-Sicherheit beschreibt verschiedene Berechtigungsebenen eines Betriebssystems. Ring 0 bietet den direktesten Zugriff auf Hardware und Arbeitsspeicher. Wenn Angreifer in diesen Bereich vordringen, haben sie die vollständige Kontrolle über den Computer. Der Einsatz des veralteten Verschlüsselungsalgorithmus RC4 durch Microsoft in einer derart kritischen Komponente überrascht viele Experten. RC4 gilt seit über zehn Jahren als unsicher.

Wie bewertet ihr die Tatsache, dass eine Schutzfunktion des Betriebssystems auf diese Weise umfunktioniert werden kann? Teilt uns eure Gedanken zu dem Thema gerne in den Kommentaren mit!


Siehe auch: