BEDROHUNG
Sicherheitsforscher von Check Point haben nachgewiesen, dass ein legitimer, von Microsoft signierter Windows-Defender-Treiber (BTR.sys) als Angriffswerkzeug eingesetzt werden kann. Mithilfe einer speziell präparierten Konfiguration lässt sich der Treiber noch vor dem Start von Sicherheitssoftware ausführen und so Endpoint-Detection-and-Response-(EDR)-Lösungen sowie Antivirenprogramme deaktivieren. Darüber hinaus können Angreifer damit schädliche Treiber mit Kernel-Rechten laden.
Der Treiber wurde ursprünglich entwickelt, um hartnäckige Schadsoftware bereits beim Systemstart zu entfernen. Genau diese Funktion lässt sich zweckentfremden. Da es sich um einen offiziellen Microsoft-Treiber handelt, kann er nicht ohne Weiteres über die Blockliste für anfällige Treiber gesperrt werden. Microsoft stuft das Verhalten derzeit nicht als klassische Sicherheitslücke ein, weil für den Missbrauch bereits Administratorrechte erforderlich sind.
Aktive Angriffe, die diese Technik ausnutzen, sind bislang nicht bekannt. Das Risiko besteht jedoch in einem zweiten Schritt: Nach einer erfolgreichen Erstkompromittierung kann die Methode genutzt werden, um Schutzlösungen auszuschalten und sich dauerhaft auf einem System festzusetzen.
Was jetzt zu tun ist:
- Administratorrechte konsequent auf das notwendige Minimum beschränken (Least Privilege)
- Systeme auf ungewöhnliche Treiberladevorgänge und Manipulationsversuche überwachen
- EDR- und Sysmon-Protokolle regelmäßig auf verdächtige Aktivitäten prüfen und Windows- sowie Defender-Updates zeitnah einspielen
PRÄVENTION & DETEKTION
Durch das kontinuierliche Monitoring von Sysmon- und Windows-Logs können verdächtige Aktivitäten, die auf eine Ausnutzung der Schwachstelle hindeuten, frühzeitig erkannt und untersucht werden EDR/XDR-Lösungen ermöglichen dabei die automatische Alarmierung bei auffälligen Prozessausführungen, Anmeldeversuchen oder Systemänderungen und unterstützen so eine schnelle Reaktion zur Begrenzung potenzieller Schäden.
Autor: Christoph Kronabel
