Forscher trickst Ransomware-Schutz von Windows 10 aus

Er umgeht den "Überwachten Ordnerzugriff". Per Microsoft Word verschlüsselt er ohne Wissen und Zustimmung des Nutzers im Ordner Dokumente abgelegte Office-Dateien. Genau das soll der überwachte Ordnerzugriff aber laut Microsoft verhindern.

Ein spanischer Sicherheitsforscher hat eine Sicherheitsfunktion von Windows Defender ausgetrickst, die unter Windows 10 die Folgen einer Infektion mit Ransomware mildern soll. Der „Überwachte Ordnerzugriff“ soll verhindern, dass nicht vertrauenswürdige Anwendungen die Inhalte bestimmter Ordner verändern – also auch nicht verschlüsseln. Dies ist jedoch auf vielen Windows-10-Rechnern mit Bordmitteln und ohne Ausnutzung einer zusätzlichen Sicherheitslücke möglich.

Windows Defender (Bild: Microsoft)Windows Defender sperrt, sobald der überwachte Ordnerzugriff aktiviert wurde, Systemordner wie Dokumente, Favoriten, Fotos, Videos und Desktop. Nutzer können auch eigene Ordner zu hinzufügen. Außerdem ist es möglich, den Ordnerzugriff für bestimmte Anwendungen freizugeben. Microsoft zufolge ist dies jedoch nur in Ausnahmefällen notwendig, da vom Betriebssystem als unbedenklich eingestufte Anwendungen „immer zulässig“ sind.

Dazu gehören auch die Office-Anwendungen. Yago Jesus vom spanischen Sicherheitsanbieter Security By Default nutzt Microsoft Word, um per Python-Code Word-Dateien im Ordner „Dokumente“ zu öffnen und verschlüsselt mit einem von ihm vorgegebenen Passwort zu speichern. Der Vorgang erfolgt zudem im Hintergrund und unsichtbar für den Nutzer.

Der Code nutzt die Windows-Funktion Objekt Linking and Embedding (OLE). „Mit dieser Technik könnte ein Angreifer einen Ransomware-Angriff ausführen und den Schutz von Windows Defender umgehen und die native Verschlüsselungsfunktion von Microsoft Office aktivieren“, schreibt Jesus in einem Blogeintrag.

Der überwachte Ordnerzugriff lässt sich im Windows Defender Security Center in den Einstellungen für den Viren- und Bedrohungsschutz aktivieren (Screenshot: ZDNet.de).Der überwachte Ordnerzugriff lässt sich im Windows Defender Security Center in den Einstellungen für den Viren- und Bedrohungsschutz aktivieren (Screenshot: ZDNet.de).Darüber hinaus sei es auch möglich, per Python-Code den Inhalt einer Office-Datei in eine neue Datei in einem ungeschützten Ordner zu kopieren und anschließend den Inhalt der ursprünglichen Datei durch eine Lösegeldforderung zu ersetzen. Die neue Datei mit dem Inhalt des Nutzers ließe sich dann wie gewohnt durch die Ransomware verschlüsseln. Office-Anwendungen seien zudem in der Lage, PDF-Dateien, Bilder und andere Inhalte zu bearbeiten.

Microsoft teilte dem Forscher Ende Januar mit, es stufe die Schwachstelle nicht als Sicherheitsanfälligkeit ein. Defender Exploit Guard sei nicht als Sicherheitshürde gedacht, sondern nur ein Tool, dass eine Funktion bereitstelle, die einen zusätzlichen Ordnerschutz biete. Microsoft werde aber die Funktion zur Überwachung von Ordnerzugriffen überarbeiten.

„Das bedeutet also, dass Microsoft die Schwachstelle beheben wird, ohne einzuräumen, dass sie als Mitigation Bypass eingestuft werden sollte“, kommentierte der Forscher. Microsoft selbst beschreibt den überwachten Ordnerzugriff als Schutz für „Ihre Dateien und Ordner vor nicht autorisierten Änderungen durch schädliche Anwendungen“. In einem Blogeintrag von Oktober 2017 wird der überwachte Ordnerzugriff zudem zusammen mit anderen Neuerungen des Windows 10 Fall Creators Update erwähnt, die „Geräte vor einer Vielzahl von Angriffsvektoren schützen und Verhalten blockieren, das gewöhnlich bei Malware-Angriffen benutzt wird“.

HIGHLIGHT

IDC-Studie: IT-Security in Deutschland 2018

Der Executive Brief "IT-Security in Deutschland 2018" bietet IT- und Fachbereichsentscheidern auf Basis der Studien-Highlights Best Practices und Empfehlungen für die Stärkung der IT-Sicherheit in ihrem Unternehmen.

Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Malware, Microsoft, Ransomware, Security, Sicherheit, Windows 10

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Forscher trickst Ransomware-Schutz von Windows 10 aus

Kommentar hinzufügen
  • Am 8. Februar 2018 um 10:36 von Hansa

    Nicht nur das es hier eine große Lücke gibt,
    der überwachte Ordnerzugriff ist vom User Handling alles andere als gut gelöst.

    Sobald eine nicht zugelassene App, wie z.B. ein PDF Printer eine Datei schreiben möchte
    wird diese geblockt und man erhält im Benachrichtigungscenter eine Meldung.

    Dort steht dann ein extrem verkürzter Pfad wie: c:\Progr…\.. irgendwas.exe

    Man kann den Pfad aus der Benachrichtigung nicht kopieren um ihn freizuschalten!
    Es öffnet sich auch kein Admin Dialog wenn man die Benachrichtigung anklickt.
    Stattdessen verschwindet die Benachrichtigung einfach.

    Das ist vom Handling für den Normaluser völlig unausgegoren.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *