Windows-Defender-Treiber hebelt Windows-Sicherheitsmechanismen aus

Was geschehen ist: Die Sicherheitslücke im Windows Defender

IT-Sicherheitsforscher des Unternehmens Check Point haben eine besorgniserregende Entdeckung gemacht, die die Sicherheit von Windows-Systemen in den Fokus rückt. Bei der Analyse eines infizierten Systems stießen die Experten auf den sogenannten „Windows Defender Boot-Time Removal“-Treiber, kurz BTR.sys. Dieser Treiber ist ein legitimer Bestandteil des Microsoft-eigenen Malwareschutzes, der eigentlich dazu dient, Schadcode beim Neustart des Computers unschädlich zu machen. Die Untersuchung ergab jedoch, dass genau diese Funktionalität von Angreifern zweckentfremdet werden kann. Anstatt das System zu schützen, bietet der Treiber die Möglichkeit, weitreichende Manipulationen an einem Windows-Rechner vorzunehmen. Die Forscher stellten fest, dass der Treiber unter bestimmten Umständen missbraucht werden kann, um Sicherheitsmechanismen des Betriebssystems gezielt auszuhebeln. Da es sich um eine Komponente handelt, die direkt von Microsoft stammt, ist das Vertrauen in die Integrität dieser Systemdatei besonders kritisch zu bewerten. Die Entdeckung wirft ein Schlaglicht auf die Risiken, die von sogenannten „Living off the Land“-Techniken ausgehen, bei denen Angreifer auf bereits vorhandene Bordmittel eines Betriebssystems zurückgreifen, um ihre Ziele zu erreichen. Die Situation stellt eine Herausforderung für Administratoren dar, da es sich nicht um klassischen Schadcode handelt, sondern um die missbräuchliche Verwendung einer vertrauenswürdigen Systemkomponente, die tief in die Architektur von Windows eingreift.

Die Einzelheiten: Funktionsweise und technische Details

Die Analyse von Check Point offenbart eine komplexe Vorgehensweise, wie der Treiber BTR.sys in das System eingeschleust und genutzt wird. Der Treiber ist in der Datei „MpEngine.dll“ enthalten und wird bei Bedarf mit einem zufällig generierten Namen im Verzeichnis „System32\drivers“ abgelegt. Um den Treiber zu verankern, wird ein Eintrag im Registry-Zweig „HKLM\SYSTEM\CurrentControlSet\Services\“ erstellt, der ebenfalls einen zufälligen Namen trägt. Bei der Ausführung nutzt der Treiber die RC4-Verschlüsselung sowie die sogenannten Alternativen Datenströme (ADS) des NTFS-Dateisystems. Dabei findet eine spezifische Interaktion mit dem Datenstrom „:changelist“ statt, der zur Treiberdatei gehört. Nach der erfolgreichen Ausführung sorgt der Treiber selbst für eine Bereinigung der hinterlassenen Spuren, was die Entdeckung durch herkömmliche Sicherheitslösungen erschwert. Zu den Funktionen, die der Treiber bietet, gehört das Löschen von Dateien und Verzeichnissen sowie das Verschieben von Objekten in Quarantäne in Quarantäne-Ordner. Diese Aktionen lassen sich nicht nur auf Dateien anwenden, sondern betreffen auch Registry-Einträge. Um die Gefahr zu demonstrieren, haben die Sicherheitsforscher ein Tool für die Eingabeaufforderung entwickelt, dessen Quellcode sie auf GitHub veröffentlicht haben. Als primäres Angriffsszenario nennen die Experten das Deaktivieren von Schutzsoftware, was durch die Manipulation der entsprechenden Einträge oder Dateien möglich wird. Die Forscher betonen, dass diese Vorgehensweise auch aktuell noch voll funktionsfähig ist.

Hintergrund: Vom Schutzmechanismus zum Sicherheitsrisiko

Die Ursprünge dieser Problematik liegen in der Architektur des Windows Defenders selbst. Microsoft hat den BTR.sys-Treiber konzipiert, um hartnäckige Malware zu entfernen, die sich während des laufenden Betriebs nicht löschen lässt, da sie beispielsweise gesperrt ist oder aktiv ausgeführt wird. Der Mechanismus greift daher beim Neustart des Systems, also in einer Phase, in der das Betriebssystem noch nicht vollständig geladen ist und der Defender somit die Kontrolle über den Löschprozess übernehmen kann. Dass dieser Prozess nun für andere Zwecke missbraucht werden kann, ist eine Folge der hohen Privilegien, die ein solcher Treiber benötigt, um seine Aufgabe zu erfüllen. Die Forscher von Check Point haben dieses Verhalten im Rahmen eines „Responsible Disclosure“-Prozesses an Microsoft gemeldet. Das Unternehmen hat auf die Meldung reagiert, sieht jedoch derzeit keine Notwendigkeit für eine kurzfristige Abhilfe. Die Begründung von Microsoft lautet, dass für den Angriff Administratorrechte erforderlich seien. Da ein Angreifer, der bereits über Administratorrechte verfügt, ohnehin weitreichende Möglichkeiten zur Systemmanipulation besitzt, bewertet der Hersteller das Risiko als weniger kritisch. Diese Einschätzung ignoriert jedoch die Tatsache, dass es im Windows-Ökosystem regelmäßig Schwachstellen gibt, die eine Rechteausweitung ermöglichen, wodurch ein Angreifer die notwendigen Admin-Rechte erlangen kann.

Die Beteiligten: Akteure und ihre Positionen

Die Hauptakteure in diesem Szenario sind die IT-Sicherheitsforscher von Check Point, die die Schwachstelle entdeckt und analysiert haben, sowie der Software-Gigant Microsoft, der für die Entwicklung des Windows Defenders und des Treibers BTR.sys verantwortlich ist. Check Point hat die Aufgabe übernommen, die Funktionsweise des Treibers detailliert zu untersuchen, ein Demonstrations-Tool zu entwickeln und die Öffentlichkeit sowie den Hersteller über die Risiken zu informieren. Microsoft hingegen nimmt die Rolle des Herstellers ein, der über die Validität der Sicherheitsmeldung entscheidet. Bislang hat Microsoft keine Anstalten gemacht, den Treiber zu modifizieren oder den Missbrauch durch technische Änderungen zu unterbinden. Die Entscheidung von Microsoft basiert auf der Annahme, dass die Hürde der Administratorrechte als ausreichender Schutz angesehen werden kann. Für Anwender und Administratoren bedeutet dies, dass sie sich auf die bestehende Konfiguration verlassen müssen, ohne dass ein offizieller Patch für dieses spezifische Problem in Aussicht steht. Die Forscher von Check Point fungieren hierbei als kritische Beobachter, die auf die Diskrepanz zwischen der beabsichtigten Funktion des Treibers und seinem tatsächlichen Missbrauchspotenzial hinweisen, während sie gleichzeitig Empfehlungen zur Absicherung der Systeme geben, um das Risiko einer Rechteausweitung zu minimieren.

Einordnung: Was dies für die Systemsicherheit bedeutet

Einzuordnen ist das so: Der Missbrauch von legitimen Treibern, oft als „Bring Your Own Vulnerable Driver“ (BYOVD) oder im weiteren Sinne als „Living off the Land“ bezeichnet, stellt ein wachsendes Problem für die IT-Sicherheit dar. Den Berichten zufolge ist die Schwachstelle zwar noch nicht in freier Wildbahn aktiv missbraucht worden, doch die theoretische Gefahr ist real. Die Tatsache, dass Microsoft regelmäßig am Patchday zahlreiche Schwachstellen schließt, die eine Rechteausweitung erlauben, unterstreicht, dass die Voraussetzung für den Missbrauch – nämlich der Zugriff auf Administratorrechte – kein unüberwindbares Hindernis für versierte Angreifer darstellt. Einzuordnen ist das Verhalten des Treibers als ein mächtiges Werkzeug, das in den falschen Händen die Verteidigungslinien eines Windows-Systems untergraben kann. Die Sicherheitsforscher betonen, dass es für eine ganzheitliche Verteidigung nicht ausreicht, sich allein auf die „Microsoft Vulnerable Driver Blocklist“ (WDAC) zu verlassen. Vielmehr ist eine kontextbezogene Überwachung notwendig, um verdächtige Aktivitäten, wie das Erzeugen von Alternativen Datenströmen im Zusammenhang mit Treibern, frühzeitig zu erkennen. Die Bewertung der Forscher ist klar: Die Verteidigung muss proaktiv erfolgen, indem die Angriffsfläche durch strikte Rechtebeschränkungen minimiert wird, da man sich nicht allein auf die Integrität der Microsoft-eigenen Komponenten verlassen kann.

Offene Fragen: Was der Quelltext nicht beantwortet

Der Quelltext lässt einige Fragen offen, die für Anwender und IT-Sicherheitsverantwortliche von Bedeutung sein könnten. Zunächst bleibt unklar, ob Microsoft in Zukunft seine Strategie ändern wird, falls neue Erkenntnisse über den Missbrauch des BTR.sys-Treibers in der Praxis auftauchen sollten. Es wird nicht spezifiziert, welche konkreten Versionen des Windows Defenders oder welche Windows-Builds in besonderem Maße von der Problematik betroffen sind, beziehungsweise ob es Unterschiede in der Implementierung zwischen verschiedenen Windows-Versionen gibt. Zudem wird nicht detailliert erläutert, wie genau die Überwachung des Kontexts, in dem Treiber geladen werden, technisch in einem Unternehmensnetzwerk umgesetzt werden kann, ohne die Systemperformance oder die Stabilität des Defenders negativ zu beeinflussen. Auch die Frage, wie effektiv die existierende Microsoft Vulnerable Driver Blocklist in der Praxis wirklich ist, wenn es um solche tief im System verwurzelten Komponenten geht, wird nur oberflächlich behandelt. Es bleibt zudem offen, ob es alternative Methoden gibt, um den BTR.sys-Treiber zu härten, ohne seine ursprüngliche Funktion zur Malware-Entfernung zu beeinträchtigen. Die Lücke zwischen der theoretischen Analyse durch die Sicherheitsforscher und einer praktischen, durch Microsoft unterstützten Lösung bleibt somit bestehen, da der Hersteller derzeit keine weiteren Schritte angekündigt hat.

Wie es weitergeht: Empfohlene Gegenmaßnahmen

Da von offizieller Seite keine unmittelbare Änderung am Treiber zu erwarten ist, konzentrieren sich die Empfehlungen der Sicherheitsforscher auf präventive Maßnahmen. An erster Stelle steht die konsequente Beschränkung von Benutzerrechten. Indem Personen und Dienste nur mit den minimal notwendigen Rechten ausgestattet werden, soll es für Angreifer deutlich schwieriger werden, die für einen Missbrauch des BTR.sys-Treibers erforderlichen Administratorrechte zu erlangen. Zudem wird dazu geraten, Verhaltensregeln für EDR-Systeme (Endpoint Detection and Response) zu erstellen, die speziell auf die Überwachung der Treiberaktivitäten ausgerichtet sind. Die Forscher betonen die Notwendigkeit einer ganzheitlichen Verteidigungsstrategie, die über die bloße Nutzung der Microsoft Vulnerable Driver Blocklist hinausgeht. Administratoren sollten den Kontext überwachen, in dem Treiber geladen werden, und besonders auf die Erzeugung von Alternativen Datenströmen (ADS) achten, da dies ein Indikator für den Missbrauch des Treibers sein kann. Es gibt keine angekündigten Termine für ein Update, das den Treiber absichert. Die Verantwortung für die Absicherung der Systeme liegt somit vorerst bei den Administratoren, die durch eine restriktive Rechtevergabe und eine aufmerksame Überwachung der Systemereignisse das Risiko minimieren müssen.