Weiterer Bypass für Microsofts Kernel-Schutz PatchGuard veröffentlicht

Ein Sicherheitsforscher hat Beispielcode für einen Exploit veröffentlicht, mit dem sich die Windows-Sicherheitsfunktion Kernel Patch Protection (KPP) – auch PatchGuard genannt – umgehen lässt. ByePg ist bereits der zweite Bypass, der in weniger als sechs Monaten entdeckt und veröffentlicht wurde. Seit Juli steht ein Proof-of-Concept für „InfinityHook“ zur Verfügung.

Microsoft hatte PatchGuard 2005 für Windows XP eingeführt. Die Sicherheitsfunktion ist jedoch auf 64-Bit-Versionen von Windows beschränkt. Sie soll verhindern, dass Apps den Kernel patchen, sprich die wohl wichtigste Komponente des Betriebssystems unerlaubt verändern.

Vor der Einführung von PatchGuard nutzen vor allem Antivirenprogramme, aber auch anrüchige Treiber oder Cheats für Spiele die Möglichkeit, den Kernel an ihre Bedürfnisse anzupassen. Im Bereich der Cyberkriminalität waren indes Entwickler von Rootkits große Freunde dieser klaffenden Hintertür, um ein System vollständig unter ihre Kontrolle zu bringen. Allerdings war PatchGuard nicht von Anfang an erfolgreich. Erst zusätzliche Sicherheitsfunktionen von Windows 10 brachten das Aus für Rootkits.

Sicherheitsforscher hörten jedoch nie auf, sich mit PatchGuard zu beschäftigen. 2017 fand CyberArk eine GhostHook genannte Schwachstelle, die eine Funktion in Intel-Prozessoren ausnutzte, um den Kernel zu verändern. Der Bypass Infinity Hook wiederum missbrauchte die Programmierschnittstelle NtTraceEvent.

ByePg wurde bereits im vergangenen Monat vom türkischen Forscher Can Bölük entdeckt. Er fand eine Möglichkeit, den HalPrivateDispatchTable einzusetzen, damit eine gefährliche App in den Kernel eingreifen kann.

Vom Schweregrad her sollte ByePg seine Vorgänger übertrumpfen, denn die Schwachstelle erlaubt es auch, die Sicherheitsfunktion Hypervisor-Protected Code Integrity (HVCI) zu umgehen. Mit dieser Funktion setzt Microsoft gefährliche Treiber auf eine schwarze Liste.

Alle drei Exploits haben jedoch etwas gemeinsam: Microsoft weigerte sich bisher, Fixes für die Anfälligkeiten zu entwickeln. Nach Angaben des Unternehmens benötigt ein Angreifer Administratorrechte, um auch tatsächlich Schadcode ausführen zu können. Wer jedoch Administratorrechte auf einem System besitzt, kontrolliert es bereits vollständig.

Auch wenn diese Argumentation richtig erscheint, klafft darin doch eine große Lücke: PatchGuard soll nämlich auch verhindern, dass legitime Anwendungen, die mit hohen Systemrechten agieren, den Kernel verändern. Die Forscher unterstellen sogar, dass dies der eigentliche Zweck von PatchGuard sei, der nun nicht mehr gewährleistet sei. Zudem seien Bugs, die eine nicht autorisierte Ausweitung von Nutzerrechten ermöglichten, heute keine Seltenheit. In Kombination mit ByePG oder InfinityHook sei es nun also wieder möglich, Rootkits für Windows zu entwickeln und so Malware dauerhaft unter Windows einzurichten.

Tatsächlich wurden die Schwachstellen, die GhostHook und InfinityHook ermöglichten, inzwischen beseitigt. Microsoft betonte, dass es die jeweiligen Bugs nicht als sicherheitsrelevant eingestuft und somit nicht unverzüglich beseitigt habe.

Im Gespräch mit ZDNet USA erklärte Bölük, Microsoft spiele das von diesen Exploits ausgehende Risiko herunter und verzögere die Patches, was eine Tür für mögliche Angriffe öffne. Ein weiterer Nebeneffekt von Microsofts Einstufung der Bugs als nicht sicherheitsrelevant: Sie fallen nicht unter Microsofts Bug-Bounty-Programm. Die Entdecker wurden also nicht für ihre Arbeit entlohnt.

WEBINAR

Webinar-Aufzeichnung: Zugangsdaten unter Kontrolle behalten

Sicherheit beginnt bei Identitäten, hört aber nicht dort auf. Wie Identity Management, Active Directory und Privileged Access Management (PAM) zusammenpassen, erfahren Sie in diesem Webinar.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Türkei hebt nach fast drei Jahren Sperre von Wikipedia auf

Die Regierung setzt ein Urteil des Obersten Gerichtshofs um. Der stuft die Blockade als verfassungswidrig ein. Das Gericht folgt seiner…

1 Stunde ago

Google stellt Chrome-Apps auf allen Plattformen ein

Die Änderung gilt schon in diesem Jahr für Windows, macOS und Linux. Unter Chrome OS gibt Google seinen Kunden mehr…

3 Stunden ago

Januar-Patchday: Oracle schließt 334 Lücken in seinen Produkten

Es sind insgesamt 94 Produkte betroffen. 191 Schwachstellen lassen sich aus der Ferne ohne Eingabe von Anmeldedaten ausnutzen. Die Gesamtzahlen…

5 Stunden ago

Proof-of-Concept-Exploits für NSA-Crypto-Lücke in Windows veröffentlicht

Es liegen mindestens drei verschiedene Exploits vor, von denen zwei öffentlich verfügbar sind. Das erhöht die Wahrscheinlichkeit von Angriffen deutlich.…

6 Stunden ago

Mozilla entlässt 70 Mitarbeiter – auch führende Manager

Das Unternehmen reagiert auf sinkende Nutzerzahlen und den damit verbundenen Umsatzrückgang. CEO Mitchell Baker räumt ein, dass der Aufbau neuer…

21 Stunden ago

Sophos: Abo-Betrug im Play Store betrifft mehr als 600 Millionen Nutzer

Insgesamt 25 Apps nutzen eine Lücke in Googles Play-Store-Richtlinie. Nutzer, die diese Apps während einer Testphase löschen, beenden damit nicht…

23 Stunden ago