Sicherheitslücke? Microsoft Defender erlaubt lokalen Benutzern das Auslesen von Ausnahmen

[DrWindows]

Sicherheitslücke? Microsoft Defender erlaubt lokalen Benutzern das Auslesen von Ausnahmen
von Martin Geuß

Der Microsoft Defender erlaubt es, Ausnahmen für definierte Verzeichnisse anzulegen, die bei Virenscans ausgeschlossen werden. Das tut man für gewöhnlich, um Fehlalarme zu vermeiden. Lokale Benutzer können die Liste dieser Ausnahmen auslesen – ein Sicherheitsforscher bezeichnet das als Schwachstelle.

Antonio Cocomazzi hat den Sachverhalt auf Twitter dokumentiert (via heise). Mit einem an die Registry gesendeten Befehl kann jeder Nutzer die Verzeichnisse auflisten lassen, die der Defender überspringt. Ein Angreifer könnte das ausnutzen, um Schadsoftware in einem dieser Verzeichnisse abzulegen. Diese bliebe in der Folge unentdeckt.

Windows Defender AV allows Everyone to read the configured exclusions on the system

reg query "HKLMSOFTWAREMicrosoftWindows DefenderExclusions" /s pic.twitter.com/dpTFwMVRje

— Antonio Cocomazzi (@splinter_code) January 12, 2022

Der Sachverhalt lässt sich unter Windows 10 21H1 und 21H2 reproduzieren, in Windows 11 dagegen nicht.

Ob und wie Microsoft darauf reagieren wird, ist unklar. Die Problematik war laut heise vor einem halben Jahr schon einmal angesprochen worden, ohne dass es einen entsprechenden Patch gab.

Angriffsmethoden, die eine lokale Anmeldung voraussetzen, werden von Microsoft in aller Regel ohnehin nicht als schwerwiegend klassifiziert. In diesem Fall kommt noch dazu, dass man für einen erfolgreichen Angriff entweder physischen Zugang zu einem Computer oder einen sehr guten Social Engineering Hacker benötigt. Die Frage ist außerdem, ob eine in einem Ausnahmeverzeichnis platzierte Malware auch dann noch unentdeckt bleibt, wenn sie beispielsweise Systemdateien zu ändern versucht.

+ alles anzeigen - weniger anzeigen

Hinweis: Der Artikel wird möglicherweise nicht vollständig angezeigt, eingebettete Medien sind in dieser Vorschau beispielsweise nicht zu sehen.

Artikel im Blog lesen

 

[Mister1302]

Sehe ich auch als nicht kritisch für 0815 User. Klar, wenn es wirklich wichtige Systeme sind… Dann ist dies sicher schwerwiegend. Für mich und Leute in diesem Forum völlig unkritisch

 

[mh0001]

Hmm, entweder verstehe ich das Problem falsch oder ihr....

Meinem Verständnis nach, ermöglicht es folgendes Angriffsszenario:

Malware, die mit normalen Benutzerrechten ausgeführt wird, also auch wenn jemand aus Sicherheitsgründen nicht mit einem Administrator-, sondern einem eingeschränkten Konto unterwegs ist, macht bei Ausführung nichts Böswilliges außer diesen Registrykey abzufragen (was ja offenbar geht).

Dadurch weiß die Malware, an welchen Ort sie sich kopieren muss bzw. wohin sie Komponenten nachladen muss, um von diesem Ort aus dann die wirklich bösartigen Aktionen durchzuführen. Was sie von dort kann, da eine von diesem Ort aus gestartete ausführbare Datei nicht überwacht wird.

Nehmen wir also mal an, der User wird dazu gebracht, eine Ransomware zu starten, die vom Defender normalerweise bei der Durchführung ihrer eigentlichen bösen Tätigkeit durchaus durch die Verhaltenserkennung gestoppt würde. Diese Ransomware jedoch verschlüsselt zunächst einmal nicht, sondern guckt nur nach, welche Pfade denn von der Erkennung des Defenders und somit auch vom Ransomware-Schutz ausgeschlossen wurden. Dann kopiert die Ransomware ihre exe-Datei an genau diesen Ort und startet sie. Da der Defender diesen Ort nicht überwacht, kann die dort gestartete Datei nun ungestört anfangen, die Nutzerdaten zu verschlüsseln.

Ich sehe da schon ein Risiko. Das wäre gelöst, wenn sämtliche Möglichkeiten, die von der Überwachung ausgenommenen Pfade einzusehen, Admin-Rechte erfordern würden.

ODER, wenn der Defender sämtliche ausführbaren Dateien an einem den Ausnahmen zugefügten Ort dennoch überwachen würde, sofern sie von einem anderen Prozess, der sich selber nicht an einem Ausnahme-Ort befindet, gestartet wurden. Wenn das so ist, ist auch alles in Ordnung. Wenn jedoch nicht, ist das eigtl. ein großes Problem.

 

[Potrimpo]

Um die "exe" in den Pfad zu kopieren, bedarf es Schreibrechte. Auch wenn die vorhanden wären, wie auch immer, würde beim Schreiben durch den Defender geprüft. Kennt der Defender die Malware zu diesem Zeitpunkt allerdings (noch) nicht und zusätzlich sind Schreibrechte gesetzt, dann ist es ein Problem.