Design-Fehler macht namhafte Antivirenlösungen angreifbar

Malware lässt sich aus der Quarantäne in ein Windows-Verzeichnis wiederherstellen. Ein Angreifer benötigt jedoch physischen Zugriff auf ein lokales System. Allerdings funktioniert der Angriff ohne Administratorrechte. Betroffen sind unter anderem Produkte von Kaspersky, Malwarebytes und Trend Micro.

Der Sicherheitsforscher Florian Bogner, der für den österreichischen IT-Dienstleister Kapsch arbeitet, hat einen Fehler in Antivirenlösungen verschiedener Hersteller gefunden, der diese Produkte unter Umständen unbrauchbar macht. Demnach ist es möglich, bereits erkannte Schadsoftware an den Sicherheitsanwendungen vorbei aus der Quarantäne zu holen und auszuführen. Der von ihm als AVGater bezeichnete Fehler betrifft demnach unter anderem Check Point, Emisoft, Ikarus, Kaspersky Lab, Malwarebytes, Trend Micro und Zone Alarm.

Malware-Chip-1200 (Bild: Shutterstock)Allerdings muss ein Angreifer lokalen Zugriff auf das System haben, wie Bleeping Computer berichtet. Administratorrechte benötigt er jedoch nicht – ein Konto mit eingeschränkten Nutzerrechten ist vollkommen ausreichend. Die für die Ausführung der Malware benötigten höheren Rechte erhält der Angreifer später automatisch von der Antivirensoftware.

Letztlich manipuliert ein Angreifer den Wiederherstellungsprozess für Dateien, die in die Quarantäne verschoben wurden. Zuvor führt er jedoch Schadcode aus, der mithilfe von NTFS-Verzeichnisverbindungen den ursprünglichen Speicherort der Schadsoftware verändert. Wird die gefährliche Datei wiederhergestellt, landet sie nicht an ihrem Ursprungsort, sondern in einem Unterverzeichnis des Ordners „C:/Windows“.

Normalerweise würde ein Nutzer Administratorrechte benötigen, um eine Datei dort ablegen zu können. Antivirenprogramme verfügen jedoch stets über Systemrechte, weswegen die schädliche Datei in den Windows-Ordner verschoben wird, ohne dass eine Fehlermeldung oder eine Warnung aufgelöst wird. Macht sich der Angreifer zudem den Umstand zunutze, dass bestimmte DLL-Dateien in einigen Windows-Verzeichnissen beim Start automatisch geladen beziehungsweise ausgeführt werden, wird auch die zuvor unter Quarantäne gestellte Datei beim nächsten Neustart als Teil eines Windows-Diensts oder einer privilegierten Anwendungen ausgeführt.

Einen Beispiel-Exploit stellte Bogner für Produkte von Emisoft und Malwarebytes zur Verfügung. Ihm zufolge werden die betroffenen Anbieter in den kommenden Tagen Updates zur Verfügung stellen, die die Schwachstelle beseitigen. Er schließt zudem nicht aus, dass außer den genannten Unternehmen auch weitere Sicherheitslösungen anfällig sind. Nutzern rät er, ihre Antivirusprodukte stets auf dem neuesten Stand zu halten. In Unternehmensumgebungen sei es zudem meist möglich, die Wiederherstellung von Dateien aus der Quarantäne zu untersagen.

ANZEIGE

Aktuelle Studie zur Dokumentensicherheit in deutschen Büros

Eine aktuelle Statista-Umfrage (im Auftrag von KYOCERA Document Solutions) hat ergeben: Der deutsche Mittelstand hat Nachholbedarf beim Thema Dokumentensicherheit. Mehr als die Hälfte der befragten Mitarbeiter hat Zugriff auf Dokumente, die nicht für sie bestimmt sind. Weitere Infos und Tipps zur Optimierung erhalten Sie im gratis E-Book. Jetzt herunterladen!

Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Kaspersky, Malware, Malwarebytes, Security, Sicherheit, Trend Micro

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Design-Fehler macht namhafte Antivirenlösungen angreifbar

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *