Vista: Sicherheitsrisiko durch Treiber von ATI & Nvidia

Die Sicherheitsexpertin Joanna Rutkowska sorgte schon vor der Markteinführung von Windows Vista für Aufsehen, als sie auf der Security-Konferenz Black Hat einen Weg zeigte, wie man mit Hilfe eines Root-Kits die Kontrolle über ein Windows Vista 64-Bit-System übernehmen kann. In der finalen Ausgabe von Windows Vista soll die von Rutkowska genutzte Schwachstelle nicht mehr enthalten sein. Die Expertin legte jedoch auf der diesjährigen Black Hat nach. Sie zeigte eine virtualisierte Variante ihres Root-Kits "Blue Pill", mit dem sich ein Rechner mit Vista 64-Bit infiltrieren und der integrierte Kernelschutz PatchGuard umgehen lässt.

Bei ihrem neuen Ansatz nutzt sie nach eigenen Angaben Schwachstellen in Treibern, die zwar von Microsoft für die Nutzung mit Windows Vista 64-Bit zertifiziert wurden, also als sicher eingestuft werden, aber so schlecht programmiert sind, dass sie Root-Kits ein Einfallstor bieten.

Bei den von ihr gezeigten Beispielen handelte es sich ausgerechnet um Treiber der bekannten Grafikkarten- und Chipsatzhersteller ATI und Nvidia. Konkret nutzte sie Fehler und Schwachstellen in ATIs Catalyst-Treiber für Grafikkarten und der nTune Treiber-Software für Nvidia-Chipsätze.

Unter Verwendung des Nvidia Treibers war es Rutkowska möglich, auf den Systemkern von Windows Vista 64-Bit zuzugreifen, ohne dabei auf zusätzliche Hürden zu stoßen. Das Problem ist ihren Angaben zufolge sogar so schwerwiegend, dass der fehlerhafte Treiber auf dem betroffenen Rechner nicht einmal installiert sein muss.

Ein Angreifer könne den Treiber auch in einen eigenen Root-Kit einbinden und das Paket dann für Attacken auf Vista 64-Bit-Systeme verwenden, sagte sie. Aber auch dies sei eigentlich zu viel Aufwand, so Rutkowska weiter. Selbst mit Hilfe selbst geschriebener Treiber ließen sich Angriffe verwirklichen.

Man müsse "nur" einen eigenen Treiber entwickeln und diesen von Microsoft zertifizieren lassen. Dabei gibt es laut Rutkowska keine Schwierigkeiten. Über eine frei nutzbare Internetseite eines Microsoft-Partners kann ein Angreifer seinen Treiber für Vista zertifizieren lassen, ohne dass zuvor eine Überprüfung fällig wird.

Gegen die Zahlung von 250 US-Dollar erhält angeblich jeder Nutzer der "Globalsign" genannten Zertifizierungsseite alles was nötig ist. Auf diese Weise könne man sich also jede beliebige Datei als Vista-tauglichen Treiber zertifizieren lassen, sagte Rutkowska. Die neue Version ihres Root-Kits nutze keine Sicherheitslücke aus, sondern die Schwachstellen im Design von Vista und dessen Treibern, so die Expertin abschließend.