Windows WPBT-Schwachstelle ermöglicht Rootkit-Installation

[English]Ich möchte nochmals ein Sicherheitsthema hochspülen, welches Nutzer von Windows-Systemen betrifft. Im September wurde bekannt, dass eine Schwachstelle in WPBT es Angreifern ermöglicht, ein Rootkit auf Windows-Rechnern zu installieren. Der Benutzer kann praktisch nichts dagegen tun und muss auf Microsofts Sicherheitsfunktionen wie WDAC hoffen.

Microsoft, Intel und weitere Hersteller erzählen uns seit Jahren, wie sicher die Systeme geworden sind. Intels Management Engine, Microsofts UEFI, Secure Boot und TPM, und was weiß ich. Dabei sind die Systeme sicherheitsmäßig teilweise löchrig wie ein Schweizer Käse.

Damoklesschwert WPBT

Wir müssen einen Zeitsprung zurück ins Jahr 2015 machen. Seinerzeit hatte ich das Thema WPBT bereits im Blog-Beitrag Backdoor 'Windows Platform Binary Table' (WPBT) angesprochen. Damals ging es um die Lenovo Service Engine, die Mist machte, aber auch eine Windows Neuinstallation überlebt (siehe Blog-Beitrag Lenovo Service Engine (LSE) – Superfish reloaded II) – WPBT macht dies möglich.

Mit Windows 8 hat Microsoft die Basics gelegt, um ganz schöne Schweinereien auf Systemen zu treiben. Die Technik firmiert unter dem Namen 'Windows Platform Binary Table' (WPBT) und ist in diesem Word .docx-Dokument detailliert beschrieben (siehe auch den Blog-Beitrag Backdoor 'Windows Platform Binary Table' (WPBT).

Mit WPBT wird die Möglichkeit geschaffen, beim Booten bereits in der BIOS-Boot-Phase (UEFI fällt auch darunter), Code auszuführen, um Windows-Betriebssysteme zu manipulieren. So können Treiber, Updater etc. in der Boot-Phase (aus den ACPI-Tabellen des BIOS) injiziert werden. Ursprüngliche Idee war, dass OEMs die Möglichkeit haben sollten, Updates – unabhängig davon, ob der Anwender ein Clean Install von Windows vorgenommen hat – vorzunehmen.

Lenovo nutzte das, um einen eigenen Updater in den Windows-Autostart einzubinden, egal was der Nutzer machte. Und hier findet sich der Hinweis, das HP und Dell dies verwenden, um über die Funktionstaste [F6] Treiber aus dem BIOS in ein Windows zu injizieren.

Die WPBT-Schwachstelle

Sicherheitsforscher von Eclypsium hatten das Thema Mitte September 2021 im Beitrag EVERYONE GETS A ROOTKIT aufgegriffen. Das Eclypsium-Forschungsteam hat eine Schwachstelle in der WPBT-Funktion von Microsoft identifiziert, die es einem Angreifer ermöglichen kann, beim Hochfahren eines Geräts bösartigen Code mit Kernel-Rechten auszuführen.

Das Problem ergibt sich, weil Microsoft zwar verlangt, dass eine WPBT-Binärdatei signiert ist, aber ein abgelaufenes oder widerrufenes Zertifikat akzeptiert. Das bedeutet, dass ein Angreifer eine bösartige Binärdatei mit einem beliebigen, leicht verfügbaren, abgelaufenen Zertifikat signieren kann. Dieses Problem betrifft alle Windows-basierten Geräte seit Windows 8, als WPBT erstmals eingeführt wurde. Die Forscher haben den Angriff erfolgreich auf modernen Secured-Core-PCs demonstriert, auf denen die neuesten Boot-Schutzmaßnahmen laufen.

Diese Schwachstelle kann potenziell über mehrere Vektoren (z. B. physischer Zugriff, Fernzugriff und Lieferkette) und durch mehrere Techniken (z. B. bösartiger Bootloader, DMA usw.) ausgenutzt werden. Unternehmen müssen diese Vektoren berücksichtigen und einen mehrschichtigen Sicherheitsansatz verfolgen, um sicherzustellen, dass alle verfügbaren Korrekturen angewandt und potenzielle Schwachstellen der Geräte erkannt werden.

WDAC: Schutz über Gürtel und Hosenträger

Die Kollegen von Bleeping Computer haben das in diesem Beitrag aufgegriffen, und thematisieren auch die Lösung Microsofts, um sich vor so etwas zu schützen. Microsoft empfiehlt die Verwendung einer Windows Defender Application Control-Richtlinie (WDAC). Mit dieser lässt sich kontrollieren, welche Binärdateien auf einem Windows-Gerät ausgeführt werden können. Das wirkt auch für in der WPBT enthaltenen Binärdateien.

Diese Empfehlung hat aber gleich mehrere Haken. WDAC steht nur in Windows 10 Enterprise-Systemen ab Windows 10 1903 und höher, auf Windows 11 oder auf Windows Server 2016 und höher bereit, bzw. die Richtlinien können nur dort erstellt werden. Bei älteren Windows-Versionen können Administratoren AppLocker-Richtlinien verwenden, um zu steuern, welche Apps auf einem Windows-Client ausgeführt werden dürfen.

Aber alle Home-Editionen sind außen vor. Wieder ein Beispiel, wo die "klugen Ideen" der Hersteller die Nutzer ziemlich aus dem Fenster hängen. Linux-Installationen sind in diesem Szenario eher nicht gefährdet, da diese die Windows WPBT-Binärdateien nicht ausführen. Wieder ein Fall, der zeigt, dass wir hin zu Open Source Hard- und Software kommen müssen, so dass solche Schweinereien wie WPBT ausgebaut werden können.