Weiterer Bypass für Microsofts Kernel-Schutz PatchGuard veröffentlicht

Ein Sicherheitsforscher hat Beispielcode für einen Exploit veröffentlicht, mit dem sich die Windows-Sicherheitsfunktion Kernel Patch Protection (KPP) – auch PatchGuard genannt – umgehen lässt. ByePg ist bereits der zweite Bypass, der in weniger als sechs Monaten entdeckt und veröffentlicht wurde. Seit Juli steht ein Proof-of-Concept für „InfinityHook“ zur Verfügung.

Microsoft hatte PatchGuard 2005 für Windows XP eingeführt. Die Sicherheitsfunktion ist jedoch auf 64-Bit-Versionen von Windows beschränkt. Sie soll verhindern, dass Apps den Kernel patchen, sprich die wohl wichtigste Komponente des Betriebssystems unerlaubt verändern.

Vor der Einführung von PatchGuard nutzen vor allem Antivirenprogramme, aber auch anrüchige Treiber oder Cheats für Spiele die Möglichkeit, den Kernel an ihre Bedürfnisse anzupassen. Im Bereich der Cyberkriminalität waren indes Entwickler von Rootkits große Freunde dieser klaffenden Hintertür, um ein System vollständig unter ihre Kontrolle zu bringen. Allerdings war PatchGuard nicht von Anfang an erfolgreich. Erst zusätzliche Sicherheitsfunktionen von Windows 10 brachten das Aus für Rootkits.

Sicherheitsforscher hörten jedoch nie auf, sich mit PatchGuard zu beschäftigen. 2017 fand CyberArk eine GhostHook genannte Schwachstelle, die eine Funktion in Intel-Prozessoren ausnutzte, um den Kernel zu verändern. Der Bypass Infinity Hook wiederum missbrauchte die Programmierschnittstelle NtTraceEvent.

ByePg wurde bereits im vergangenen Monat vom türkischen Forscher Can Bölük entdeckt. Er fand eine Möglichkeit, den HalPrivateDispatchTable einzusetzen, damit eine gefährliche App in den Kernel eingreifen kann.

Vom Schweregrad her sollte ByePg seine Vorgänger übertrumpfen, denn die Schwachstelle erlaubt es auch, die Sicherheitsfunktion Hypervisor-Protected Code Integrity (HVCI) zu umgehen. Mit dieser Funktion setzt Microsoft gefährliche Treiber auf eine schwarze Liste.

Alle drei Exploits haben jedoch etwas gemeinsam: Microsoft weigerte sich bisher, Fixes für die Anfälligkeiten zu entwickeln. Nach Angaben des Unternehmens benötigt ein Angreifer Administratorrechte, um auch tatsächlich Schadcode ausführen zu können. Wer jedoch Administratorrechte auf einem System besitzt, kontrolliert es bereits vollständig.

Auch wenn diese Argumentation richtig erscheint, klafft darin doch eine große Lücke: PatchGuard soll nämlich auch verhindern, dass legitime Anwendungen, die mit hohen Systemrechten agieren, den Kernel verändern. Die Forscher unterstellen sogar, dass dies der eigentliche Zweck von PatchGuard sei, der nun nicht mehr gewährleistet sei. Zudem seien Bugs, die eine nicht autorisierte Ausweitung von Nutzerrechten ermöglichten, heute keine Seltenheit. In Kombination mit ByePG oder InfinityHook sei es nun also wieder möglich, Rootkits für Windows zu entwickeln und so Malware dauerhaft unter Windows einzurichten.

Tatsächlich wurden die Schwachstellen, die GhostHook und InfinityHook ermöglichten, inzwischen beseitigt. Microsoft betonte, dass es die jeweiligen Bugs nicht als sicherheitsrelevant eingestuft und somit nicht unverzüglich beseitigt habe.

Im Gespräch mit ZDNet USA erklärte Bölük, Microsoft spiele das von diesen Exploits ausgehende Risiko herunter und verzögere die Patches, was eine Tür für mögliche Angriffe öffne. Ein weiterer Nebeneffekt von Microsofts Einstufung der Bugs als nicht sicherheitsrelevant: Sie fallen nicht unter Microsofts Bug-Bounty-Programm. Die Entdecker wurden also nicht für ihre Arbeit entlohnt.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Online-Seminar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Ransomware-Gang veröffentlicht massenhaft interne Daten von LG und Xerox

Es handelt sich um die Erpressersoftware Maze. Deren Hintermänner gegen mehr als 50 GByte Daten…

6 Stunden ago

August-Patchday: Google stopft 57 Sicherheitslöcher in Android

Fast die Hälfte der Bugs steckt in Komponenten von Qualcomm. Darunter sind auch mehrere kritische…

8 Stunden ago

Google kündigt Pixel 4a für 349 Euro an

Das Smartphone übernimmt viele Details vom Pixel 4. Dazu gehören RAM, Arbeitsspeicher und die 12-Megapixel-Hauptkamera.…

10 Stunden ago

NetWalker: Ransomware-Gang erlöst seit März rund 25 Millionen Dollar

McAfee verfolgt die Aktivitäten von Bitcoin-Adressen, die zu NetWalker gehören. Die Ransomware ist erst seit…

12 Stunden ago

Firefox 81: Mozilla integriert neue PDF-Funktionen in seinen Browser

Der integrierte PDF-Reader unterstützt künftig das Ausfüllen von Formularen. Die Entwickler überarbeiten auch die Oberfläche…

14 Stunden ago

Siri-Patente: Chinesisches Unternehmen fordert von Apple 1,4 Milliarden Dollar Schadensersatz

Es geht um ein 2009 gewährtes Schutzrecht. Apple scheitert mit dem Versuch, das Patent für…

15 Stunden ago