Ein Sicherheitsforscher hat Beispielcode für einen Exploit veröffentlicht, mit dem sich die Windows-Sicherheitsfunktion Kernel Patch Protection (KPP) – auch PatchGuard genannt – umgehen lässt. ByePg ist bereits der zweite Bypass, der in weniger als sechs Monaten entdeckt und veröffentlicht wurde. Seit Juli steht ein Proof-of-Concept für „InfinityHook“ zur Verfügung.
Vor der Einführung von PatchGuard nutzen vor allem Antivirenprogramme, aber auch anrüchige Treiber oder Cheats für Spiele die Möglichkeit, den Kernel an ihre Bedürfnisse anzupassen. Im Bereich der Cyberkriminalität waren indes Entwickler von Rootkits große Freunde dieser klaffenden Hintertür, um ein System vollständig unter ihre Kontrolle zu bringen. Allerdings war PatchGuard nicht von Anfang an erfolgreich. Erst zusätzliche Sicherheitsfunktionen von Windows 10 brachten das Aus für Rootkits.
Sicherheitsforscher hörten jedoch nie auf, sich mit PatchGuard zu beschäftigen. 2017 fand CyberArk eine GhostHook genannte Schwachstelle, die eine Funktion in Intel-Prozessoren ausnutzte, um den Kernel zu verändern. Der Bypass Infinity Hook wiederum missbrauchte die Programmierschnittstelle NtTraceEvent.
ByePg wurde bereits im vergangenen Monat vom türkischen Forscher Can Bölük entdeckt. Er fand eine Möglichkeit, den HalPrivateDispatchTable einzusetzen, damit eine gefährliche App in den Kernel eingreifen kann.
Vom Schweregrad her sollte ByePg seine Vorgänger übertrumpfen, denn die Schwachstelle erlaubt es auch, die Sicherheitsfunktion Hypervisor-Protected Code Integrity (HVCI) zu umgehen. Mit dieser Funktion setzt Microsoft gefährliche Treiber auf eine schwarze Liste.
Alle drei Exploits haben jedoch etwas gemeinsam: Microsoft weigerte sich bisher, Fixes für die Anfälligkeiten zu entwickeln. Nach Angaben des Unternehmens benötigt ein Angreifer Administratorrechte, um auch tatsächlich Schadcode ausführen zu können. Wer jedoch Administratorrechte auf einem System besitzt, kontrolliert es bereits vollständig.
Auch wenn diese Argumentation richtig erscheint, klafft darin doch eine große Lücke: PatchGuard soll nämlich auch verhindern, dass legitime Anwendungen, die mit hohen Systemrechten agieren, den Kernel verändern. Die Forscher unterstellen sogar, dass dies der eigentliche Zweck von PatchGuard sei, der nun nicht mehr gewährleistet sei. Zudem seien Bugs, die eine nicht autorisierte Ausweitung von Nutzerrechten ermöglichten, heute keine Seltenheit. In Kombination mit ByePG oder InfinityHook sei es nun also wieder möglich, Rootkits für Windows zu entwickeln und so Malware dauerhaft unter Windows einzurichten.
Tatsächlich wurden die Schwachstellen, die GhostHook und InfinityHook ermöglichten, inzwischen beseitigt. Microsoft betonte, dass es die jeweiligen Bugs nicht als sicherheitsrelevant eingestuft und somit nicht unverzüglich beseitigt habe.
Im Gespräch mit ZDNet USA erklärte Bölük, Microsoft spiele das von diesen Exploits ausgehende Risiko herunter und verzögere die Patches, was eine Tür für mögliche Angriffe öffne. Ein weiterer Nebeneffekt von Microsofts Einstufung der Bugs als nicht sicherheitsrelevant: Sie fallen nicht unter Microsofts Bug-Bounty-Programm. Die Entdecker wurden also nicht für ihre Arbeit entlohnt.
In diesem Online-Seminar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.
OutSystems-Studie: 62 Prozent der Befragten haben Sicherheits- und Governance-Bedenken bei Softwareentwicklung mit KI-Unterstützung.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…