Weiterer Bypass für Microsofts Kernel-Schutz PatchGuard veröffentlicht

Ein Sicherheitsforscher hat Beispielcode für einen Exploit veröffentlicht, mit dem sich die Windows-Sicherheitsfunktion Kernel Patch Protection (KPP) – auch PatchGuard genannt – umgehen lässt. ByePg ist bereits der zweite Bypass, der in weniger als sechs Monaten entdeckt und veröffentlicht wurde. Seit Juli steht ein Proof-of-Concept für „InfinityHook“ zur Verfügung.

Microsoft hatte PatchGuard 2005 für Windows XP eingeführt. Die Sicherheitsfunktion ist jedoch auf 64-Bit-Versionen von Windows beschränkt. Sie soll verhindern, dass Apps den Kernel patchen, sprich die wohl wichtigste Komponente des Betriebssystems unerlaubt verändern.

Vor der Einführung von PatchGuard nutzen vor allem Antivirenprogramme, aber auch anrüchige Treiber oder Cheats für Spiele die Möglichkeit, den Kernel an ihre Bedürfnisse anzupassen. Im Bereich der Cyberkriminalität waren indes Entwickler von Rootkits große Freunde dieser klaffenden Hintertür, um ein System vollständig unter ihre Kontrolle zu bringen. Allerdings war PatchGuard nicht von Anfang an erfolgreich. Erst zusätzliche Sicherheitsfunktionen von Windows 10 brachten das Aus für Rootkits.

Sicherheitsforscher hörten jedoch nie auf, sich mit PatchGuard zu beschäftigen. 2017 fand CyberArk eine GhostHook genannte Schwachstelle, die eine Funktion in Intel-Prozessoren ausnutzte, um den Kernel zu verändern. Der Bypass Infinity Hook wiederum missbrauchte die Programmierschnittstelle NtTraceEvent.

ByePg wurde bereits im vergangenen Monat vom türkischen Forscher Can Bölük entdeckt. Er fand eine Möglichkeit, den HalPrivateDispatchTable einzusetzen, damit eine gefährliche App in den Kernel eingreifen kann.

Vom Schweregrad her sollte ByePg seine Vorgänger übertrumpfen, denn die Schwachstelle erlaubt es auch, die Sicherheitsfunktion Hypervisor-Protected Code Integrity (HVCI) zu umgehen. Mit dieser Funktion setzt Microsoft gefährliche Treiber auf eine schwarze Liste.

Alle drei Exploits haben jedoch etwas gemeinsam: Microsoft weigerte sich bisher, Fixes für die Anfälligkeiten zu entwickeln. Nach Angaben des Unternehmens benötigt ein Angreifer Administratorrechte, um auch tatsächlich Schadcode ausführen zu können. Wer jedoch Administratorrechte auf einem System besitzt, kontrolliert es bereits vollständig.

Auch wenn diese Argumentation richtig erscheint, klafft darin doch eine große Lücke: PatchGuard soll nämlich auch verhindern, dass legitime Anwendungen, die mit hohen Systemrechten agieren, den Kernel verändern. Die Forscher unterstellen sogar, dass dies der eigentliche Zweck von PatchGuard sei, der nun nicht mehr gewährleistet sei. Zudem seien Bugs, die eine nicht autorisierte Ausweitung von Nutzerrechten ermöglichten, heute keine Seltenheit. In Kombination mit ByePG oder InfinityHook sei es nun also wieder möglich, Rootkits für Windows zu entwickeln und so Malware dauerhaft unter Windows einzurichten.

Tatsächlich wurden die Schwachstellen, die GhostHook und InfinityHook ermöglichten, inzwischen beseitigt. Microsoft betonte, dass es die jeweiligen Bugs nicht als sicherheitsrelevant eingestuft und somit nicht unverzüglich beseitigt habe.

Im Gespräch mit ZDNet USA erklärte Bölük, Microsoft spiele das von diesen Exploits ausgehende Risiko herunter und verzögere die Patches, was eine Tür für mögliche Angriffe öffne. Ein weiterer Nebeneffekt von Microsofts Einstufung der Bugs als nicht sicherheitsrelevant: Sie fallen nicht unter Microsofts Bug-Bounty-Programm. Die Entdecker wurden also nicht für ihre Arbeit entlohnt.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Online-Seminar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Corona befördert das Wachstum von Cloud-Services

Corona hat sowohl die Bedeutung der IT als auch von Public Cloud Services gesteigert. Die…

2 Tagen ago

ZTNA versus Remote Access VPN – 6 Vorteile

Remote Access Virtual Private Networks (VPN) haben lange gute Dienste geleistet, aber der Trend zum…

2 Tagen ago

AWS nutzt Fedora Linux für sein cloudbasiertes Amazon Linux

Ziel ist die Integration von Red Hat Enterprise Linux. Das Betriebssystem ist für Amazon EC2…

2 Tagen ago

So setzen Ransomware-Verbrecher ihre Opfer unter Druck

Ransomware-Angreifer setzen eine breite Palette von rücksichtslosen Druckmitteln ein, um die Opfer zur Zahlung des…

2 Tagen ago

Kubernetes gegen Ransomware

Container sind mittlerweile nicht mehr vor Attacken gefeit. Veritas verrät sechs Tipps, um Kubernetes-Daten vor…

2 Tagen ago

Storage-Tiering – ein obsoletes Paradigma

Das traditionelle Tiering von Speicherinfrastruktur in verschiedene Klassen je nach Alter der Daten und Zugriffswahrscheinlichkeit…

2 Tagen ago