Windows Update kann für Malware-Auslieferung missbraucht werden

[English]Unschöne Sache, auf die ein Sicherheitsforscher gestoßen ist. Windows Update kann dazu gebracht werden, eine Schadsoftware herunterzuladen und dann auszuführen. Fällt in die Kategorie LoLBins (living-off-the-land binaries).

Ich hatte Anfang September 2020 bereits im Blog-Beitrag Sicherheitsbedenken wegen Microsoft Defender Download-Feature über ein Problem mit LoLBins (living-off-the-land binaries) im Zusammenhang mit dem Windows Defender und einer neu eingebauten Funktion berichtet. Kurz nach der Berichterstattung wurde diese Funktion wieder ausgebaut.

Was sind LOLBINs?

LOLBIN (living-off-the-land binaries) ist jede vom Betriebssystem gelieferte Binärdatei, die normalerweise für legitime Zwecke verwendet wird. LOLBINs lassen sich aber auch von böswilligen Akteuren missbrauchen. Die Angreifer können LOLBINs verwenden, um Malware herunterzuladen und auszuführen, wobei diese Aktivitäten verborgen bleiben sollen. Es sind ja Betriebssystemdateien, die für diese Zwecke mittbraucht werden.

LoLBins werden von verschiedenen Angreifern in Kombination mit Fileless-Malware und legitimen Cloud-Diensten eingesetzt, um die Chancen zu erhöhen, innerhalb einer Organisation während der Angriffsphasen unentdeckt zu bleiben. Das Konzept der LoLBins ist nicht neu und nicht spezifisch für Windows. Fast alle herkömmlichen Betriebssysteme, angefangen von den frühen DOS-Versionen und Unix-Systemen, enthielten ausführbare Dateien, die von Angreifern ausgenutzt werden konnten. Talos hat einen Blog-Beitrag zu diesem Thema veröffentlicht.

Windows Update als LOLBIN missbrauchen

Ich bin die Nacht auf Twitter über diesen Tweet auf die Thematik aufmerksam geworden. Ein Sicherheitsforscher hat sich Windows Update vorgenommen und geprüft, ob Windows Update als LOLBIN missbraucht werden kann.

(Windows Update als LOLBIN missbrauchen)

Der WSUS / Windows Update-Client (wuauclt) ist ein Dienstprogramm, das als .exe-Datei im Ordner %windir%\system32\ zu finden ist. Das Dienstprogramm ermöglicht Benutzern die teilweise Kontrolle über einige Funktionen des Windows Update-Agenten (und hier) von der Befehlszeile aus. MDSec-Forscher David Middlehurst ist aufgefallen, dass wuauclt von Angreifern auch zur Ausführung von bösartigem Code auf Windows 10-Systemen verwendet werden kann. Dazu ist folgende Befehlszeilenoption zu verwenden:

wuauclt.exe /UpdateDeploymentProvider [path_to_dll] /RunHandlerComServer

Als [path_to_dll]ist eine vom Angreifer gestaltbare DLL-Datei verwendbar. Diese wird dann unter den Berechtigungen des Windows Update-Clients ausgeführt.

Diese Angriffstechnik wird von MITRE ATT&CK als Signed Binary Proxy Execution via Rundll32 kategorisiert. Der Ansatz ermöglicht es Angreifern, Antivirus- oder andere Schutzmechanismen zum Schutz vor Viren, eine Anwendungskontrolle und die Validierung digitaler Zertifikate zu umgehen. Über den Umweg wuauclt wird auch unsignierter Code ausgeführt. Middlehurst gibt an, dass er ein Beispiel in freier Wildbahn gefunden habe (siehe hier), das diese Technik ausnutzt. Weitere Details lassen sich im Blog-Beitrag von Middlehurst  sowie bei Bleeping Computer nachlesen. Ich gehe davon aus, dass Microsoft in absehbarer Zeit was an wuauclt patchen wird.