Microsoft schließt erneut kritische Lücke in Malware Protection Engine

Ein Angreifer kann unter Umständen Schadcode einschleusen und ausführen. Dafür muss er der Malware Protection Engine lediglich eine speziell gestaltete Datei unterschieben. Entdeckt wurde das Loch erneut von Googles Project Zero.

Microsoft hat eine weitere kritische Anfälligkeit in seiner Malware Protection Engine korrigiert. Entdeckt wurde sie von Mitarbeitern von Googles Sicherheitsteam Project Zero, wie ThreatPost berichtet. Ein Angreifer konnte unter Umständen mithilfe einer speziell gestalteten ausführbaren Datei Schadcode einschleusen, sobald diese Datei vom Emulator der Malware Protection Engine gescannt wurde.

Sicherheit_shutterstockDie Microsoft Malware Protection Engine ist in zahlreichen Sicherheitsprodukten enthalten, darunter Windows Defender für Windows 7, Windows 8.1, Windows 10 und Windows Server 2016. Aber auch spezielle Unternehmenslösungen wie Forefront Endpoint Protection, System Center Endpoint Protection und Intune Endpoint Protection sind von der Schwachstelle betroffen.

Google informierte den Softwarekonzern am 12. Mai über die Schwachstelle, die das Unternehmen in der vergangenen Woche stillschweigend schloss. „Die MsMpEng beinhaltet einen vollwertigen x86-System-Emulator, der benutzt wird, um nicht vertrauenswürdige Dateien auszuführen, die wie Preinstallation Environment Executables aussehen“, führte Tavis Ormandy, Sicherheitsforscher bei Project Zero, dazu aus. „Der Emulator läuft als NTAuthority\System und ist nicht in einer Sandbox.“

Eine der vom Emulator unterstützten Win32-APIs erlaube es emuliertem Code, den Emulator selbst zu kontrollieren. Als Folge werde von einem Angreifer kontrollierter Code ausgeführt. Zudem sei es unter Umständen möglich, die Parameter für die Ausführung von Code zu verändern und Attribute und UFS-Metadaten zu lesen und zu setzen.

„Das war möglicherweise eine extrem gefährliche Anfälligkeit, aber wahrscheinlich nicht so leicht auszunutzen wie die frühere Zero-Day-Lücke, die vor zwei Wochen gepatcht wurde“, zitiert ThreatPost Udi Yavo, Gründer und CTO des Sicherheitsanbieters enSilo. Zudem sei es bemerkenswert, dass die Malware Protection Engine im Gegensatz zu anderen Microsoft-Anwendungen wie Edge nicht in einer Sandbox laufe. „Falls Sie eine Anfälligkeit ausnutzen können, ist das Spiel vorbei.“

Ormandy kritisierte indes nicht nur das Fehlen einer Sandbox, sondern auch die Funktion, die es der Malware Protection Engine erlaubt, APIs aufzurufen. Eigentlich sei die Aufgabe des Emulators, die CPU des Client-Systems nachzubilden. „Es ist nicht klar, warum Microsoft spezielle Befehle für den Emulator ermöglicht. Wenn Sie glauben, das klingt verrückt, dann sind Sie nicht allein“, ergänzte der Sicherheitsforscher.

Betroffene Nutzer der Sicherheitsprodukte von Microsoft müssen nichts unternehmen. Sie erhalten den Patch automatisch zusammen mit neuen Definitionen.

Anfang Mai hatte Microsoft bereits eine von Project Zero gemeldete kritische Schwachstelle in der Malware Protection Engine beseitigt. Ormandy bezeichnete die Lücke als „crazy bad“, weil es ausreichend war, dem Zielobjekt eine E-Mail zu schicken. Es war jedoch nicht nötig, die E-Mail zu lesen oder einen Anhang zu öffnen, um Schadcode aus der Ferne einzuschleusen und auszuführen.

ANZEIGE

Aktuelle Studie zur Dokumentensicherheit in deutschen Büros

Eine aktuelle Statista-Umfrage (im Auftrag von KYOCERA Document Solutions) hat ergeben: Der deutsche Mittelstand hat Nachholbedarf beim Thema Dokumentensicherheit. Mehr als die Hälfte der befragten Mitarbeiter hat Zugriff auf Dokumente, die nicht für sie bestimmt sind. Weitere Infos und Tipps zur Optimierung erhalten Sie im gratis E-Book. Jetzt herunterladen!

Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Google, Malware, Microsoft, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Microsoft schließt erneut kritische Lücke in Malware Protection Engine

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *