Es ist eine beißende Ironie: Forscher von Check Point Research haben Licht auf eine Technik geworfen, mit der sich ein Windows-Reparaturtool in eine Angriffswaffe verwandeln lässt. Diese auf den Konferenzen Black Hat USA und DEF CON vorgestellte Methode basiert nicht auf einem Softwarefehler, sondern auf der Entführung eines von Microsoft signierten Treibers, BTR.sys. Dieses Tool, das normalerweise zum Entfernen hartnäckiger Malware beim Neustart verwendet wird, kann von einem Angreifer manipuliert werden, der bereits über Administratorrechte verfügt, um destruktive Befehle auf der untersten Ebene des Systems auszuführen.
Wie wird aus einem Reinigungswerkzeug eine Waffe?
Der Mechanismus ist sowohl einfach als auch verheerend. Der in einer Defender-Bibliothek versteckte BTR.sys-Treiber ist so konzipiert, dass er einer Liste verschlüsselter Anweisungen folgt. Forscher fanden heraus, dass der Verschlüsselungsschlüssel (RC4) seit Windows 7 derselbe ist und in allen Versionen fest codiert ist. Durch die Erstellung einer eigenen verschlüsselten Befehlsliste können sie diesem völlig legitimen Microsoft-Treiber befehlen, jede Datei oder jeden Registrierungsschlüssel zu löschen. Das ist ein Fehler grundlegendes Design, bei dem Vertrauen die Waffe ist.
Um ihre Erkenntnisse zu demonstrieren, veröffentlichten sie ein Proof-of-Concept-Tool, BTR_CLI. Letzterer extrahiert den Treiber, erstellt die bösartige Transaktion und führt sie aus. Der Trick besteht darin, den Vorgang für den nächsten Neustart zu planen. Der Treiber läuft dann in einem „goldenen Fenster“: Auf das Dateisystem kann zugegriffen werden, übergeordnete Sicherheitsdienste, wie etwa das Antivirenprogramm selbst, sind jedoch noch nicht geladen. Es ist das perfekte Timing um Verteidigungen abzubauen, bevor sie überhaupt aktiviert werden.
Warum ist diese Technik so beeindruckend?
Dieser Ansatz ist im Vergleich zu herkömmlichen Angriffen ein völliger Wendepunkt. Normalerweise verwenden Hacker die Technik „Bring Your Own Vulnerable Driver“ (BYOVD), bei der ein Treiber eines Drittanbieters importiert wird, von dem bekannt ist, dass er Schwachstellen aufweist. Diese Fahrer landen auf schwarzen Listen. Dabei ist der Treiber ein wesentlicher Bestandteil von Windows, signiert und vertrauenswürdig. Es zu blockieren würde bedeuten, Defender zu brechen. Dies hilft, Microsoft Defender zu neutralisieren selbst, sondern möglicherweise auch andere Sicherheitslösungen (EDR).
Diese Art von Angriff wird als „Living-off-the-Land Driver“ (LOLDriver) bezeichnet, da der Angreifer die Werkzeuge nutzt, die bereits auf seinem Ziel vorhanden sind. Es ist eine Form des digitalen Parasitismus hochfliegend. Der Treiber arbeitet von Ring 0 aus, der privilegiertesten Ebene des Systems, und gibt ihm die uneingeschränkte Macht, normalerweise extrem geschützte Dateien zu ändern, zu löschen oder zu verschieben. In einer Demonstration sprühten Forscher die gesamte Defender-Suite auf einen aktuellen Windows 11-Rechner, sogar mit aktiviertem Manipulationsschutz.
Plant Microsoft zu reagieren?
Redmonds Reaktion ist überraschend. Nach der Benachrichtigung kam das Microsoft Security Response Center (MSRC) zu dem Schluss, dass diese Entdeckung keinen dringenden Sicherheitspatch erfordert. Ihr Argument? Die Technik erfordert, dass der Angreifer bereits über Administratorrechte verfügt, einschließlich des Rechts zum Laden von Treibern (SeLoadDriverPrivilege). Ihren Angaben zufolge gilt das System zu diesem Zeitpunkt bereits als kompromittiert. Eine Logik, die verteidigt werden kann, die aber einen bitteren Beigeschmack hinterlässt.
Diese Position macht BTR.sys zu einem offiziell tolerierten LOLDriver. Für Sicherheitsteams kann die Erkennung daher nicht auf der Signatur der Datei basieren, sondern auf dem Kontext ihrer Verwendung. Es muss überwacht werden, wer das Laden dieses Treibers und die Erstellung verdächtiger Datenströme (Alternate Data Streams) auslöst, die zur Weitergabe seiner Anweisungen an ihn verwendet werden. Dies macht die Verteidigung äußerst komplex, da es notwendig ist, eine legitime Reparaturaktion von einem laufenden Angriff zu unterscheiden, der dieselben Vorgänge auf Kernelebene verwendet..
Häufig gestellte Fragen (FAQ)
Bin ich in unmittelbarer Gefahr?
A priori, nein. Check Point fand keine Hinweise darauf, dass diese Technik derzeit von Hackern verwendet wird. Darüber hinaus muss sich ein Angreifer zunächst Administratorzugriff auf Ihren Computer verschaffen. Der beste Schutz bleibt daher die Anwendung guter Sicherheitspraktiken. um einen ersten Kompromiss zu vermeiden.
Was ist BTR_CLI?
BTR_CLI ist der Name des Proof-of-Concept-Tools entwickelt von Check Point-Forschern. Es handelt sich nicht um einen Virus, sondern um ein Programm, das zeigt, wie die Extraktion, Konfiguration und Ausführung des BTR.sys-Treibers für anstößige Zwecke automatisiert werden kann. Es ist öffentlich zugänglich, um Forschern und Verteidigern zu helfen, die Bedrohung zu verstehen und zu erkennen.
