Process Doppelgänging: Malware-Angriff für alle Windows-Versionen möglich

Ein Team von Sicherheitsforschern hat eine neue Technik entdeckt, die Malware ermöglicht, die meisten modernen Antivirenlösungen und forensischen Tools zu überlisten. Damit könnte dateilose Malware auf allen Windows-Versionen unter dem Radar von Virenscannern hindurch schlüpfen.

Die Methode wurde gerade von den Sicherheitsspezialisten Tal Liberman und Eugene Kogan von eSilo auf der Blackhat-Konferenz in London vorgestellt. Die Process Doppelgänging getaufte Technik der dateilosen Code-Injektion nutzt die Vorteile einer Windows-Funktion und einer undokumentierten Implementierung des Windows Process Loaders.

Die alte Process Hollowing neu gedacht

In der Blackhat-Ankündigung wird erwähnt, dass der Angriff ähnlich wie die seit Jahren bekannte Process Hollowing-Technik arbeitet. Diese versucht mit bestimmten Ansätzen die Erkennung der Malware durch Sicherheitsprodukte zu unterlaufen.

Bei einer Process Hollowing-Attacke ersetzen Hacker Teile des Speicher eines legitimen Prozesses durch den bösartigen Code. So kann dieser bösartige Code anstelle der ursprünglichen Codes ausgeführt werden. Prozessüberwachungswerkzeuge und Antivirenprogramme glauben, dass noch der ursprüngliche Prozess ausgeführt wird.

Da alle modernen Antiviren- und Sicherheitsprodukte aktualisiert wurden, um Process Hollowing-Angriffe zu erkennen, ist die Verwendung dieser Technik für Malware-Autoren stumpf geworden.

Process Doppelgänging versucht zwar das Gleiche zu erreichen, verwendet jedoch einen völlig anderen Ansatz. Dazu werden Windows NTFS-Transaktionen und eine veraltete Implementierung des Windows Process Loader, missbraucht. NTFS-Transaktionen wurden ursprünglich für Windows XP entwickelt, sind aber in allen späteren Versionen von Windows aus Kompatibilitätsgründen noch dabei.

Wie der Angriff funktioniert

NTFS-Transaktion ist eine Funktion von Windows, die das Konzept der atomaren Transaktionen in das NTFS-Dateisystem bringt und es ermöglicht, Dateien und Verzeichnisse atomar zu erstellen, zu modifizieren, umzubenennen und zu löschen.

NTFS-Transaktion ermöglichen es, Windows-Anwendungsentwicklern Dateiausgaberoutinen zu schreiben, die garantiert entweder vollständig erfolgreich sind oder vollständig fehlschlagen.

Wie könnte ein Angreifer Windows NTFS-Transaktion nutzen, um Schadcode auszuführen? Die Sicherheitsforscher skizzieren einen dateilosen Angriff mit Process Doppelgänging, der in vier großen Schritten arbeitet:

1. Transact: versucht eine legitime ausführbare Datei in einer NTFS-Transaktion zu verarbeiten und sie dann mit einer bösartigen Datei zu überschreiben.
2. Load: Erstellen eines Speicherausschnitts aus der modifizierten (bösartigen) Datei.
3. Rollback der Transaktion (bewusstes Scheitern der Transaktion), was zur Folge hat, dass alle Änderungen an der legitimen ausführbaren Datei entfernt werden, so, als ob sie nie existiert hätte.
4. Animate: Den Doppelgänger zum Leben erwecken. Dazu wird die ältere Implementierung des Windows Process Loader verwendet, um einen Prozess mit dem zuvor erstellten Speicherabschnitt (in Schritt 2) zu erstellen.

Durch den letzten Schritt wird der Schadcode, der nie auf der Festplatte gespeichert wurde, ausgeführt, ist aber für moderne Virenscanner unsichtbar.

Alle Windows-Versionen anfällig

Offensichtlich funktioniert eine Process Doppelgänging-Attacke auf allen modernen Versionen des Microsoft Windows Betriebssystems, angefangen von Windows Vista bis hin zur neuesten Version von Windows 10. Die Sicherheitsforscher haben folgende Übersicht veröffentlicht.

Diese zeigt, dass praktisch alle aktuellen Sicherheitslösungen für eine Process Doppelgänging-Attacke blind sind. Allerdings hat Microsoft damit begonnen, soweit ich die Vortragsfolien verstanden habe, diese Angriffsmethode in Windows 10 Redstone zu blocken. Die Folien des Vortrags mit den technischen Details sind hier als PDF-Datei abrufbar. Englischsprachige Artikel mit finden sich bei The Hacker News und Bleeping Computer.