Kleine Hiobsbotschaft zum Wochenende für die Windows-Fraktion. Der eigene Treiber des Microsoft Defender, der auf jedem Windows-System mitgeliefert wird, kann missbraucht werden, um EDR- und Antiviren-Lösungen vom Windows-Kernel aus zu deaktivieren. Da lungert "der Wolf im Schafspelz" auf dem System.
Ein kurzer Tweet zeigt das Desaster
Mir ist die Woche der nachfolgende Tweet von Florian Roth zum Thema untergekommen. Die Botschaft lautet, dass ein vom Microsoft Defender verwendeter Treiber missbraucht werden kann, um EDR- oder Antivirus-Lösungen vom Windows-Kernel heraus zu deaktivieren.
Check Point Research ist darauf gestoßen, dass es in Windows einen Treiber gibt, der vom Defender benutzt wird. Der signierte Windows Defender Boot-Time Removal-Treiber (BTR.sys) von Microsoft ist eine einmalig ausführbare Kernel-Komponente, die eine RC4-verschlüsselte Transaktionsliste aus einem Alternate Data Stream entschlüsselt und Ring-0-Operationen ausführt.
Ein Angreifer mit "SeLoadDriverPrivilege" kann eine gültige verschlüsselte Konfiguration erstellen und diese frühzeitig über einen temporären "Boot Bus Extender"-Dienst laden, um sie als vertrauenswürdige Kernel-Primitive zu missbrauchen. Auf diese Weise kann er den Manipulationsschutz umgehen, EDR-/AV-Komponenten vor deren Start löschen, bösartige Treiber einschleusen und Persistenz erlangen. Das Ganze ist ohne Ausnutzung einer Sicherheitslücke oder BYOVD möglich. Check Point Research hat das Ganze zum 20. August 2026 im Blog-Beitrag BTR Reforged: Weaponizing Defender's Remediation Driver as a Kernel Operation Primitive dokumentiert.
Florian Roth schreibt, dass sich das Problem auch nicht auf die übliche Weise lösen lässt, indem der Treiber zur Blockliste für anfällige Treiber hinzugefügt wird. Es handelt sich schließlich um Microsofts eigene Defender-Komponente!
Laut MSRC ist kein sofortiger Patch erforderlich, da man ohnehin Administratorrechte benötigt. Und es gibt noch eine gute Botschaft: Bislang wurden keine Missbrauchsfälle in freier Wildbahn beobachtet. Wir müssen nur fest die Daumen drücken, dann wird das schon.
MVP: 2013 – 2016
Üblicherweise bezeichnet man sowas als klassischen Trojaner.
wieder ne NSA Hintertür aufgeflogen ;-P
Ein Flick- und Frickelwerk so dergleichen, aber die Leute sind zu (für dich Zutreffendes bitte ankreuzen):
[ ] faul
[ ] unfähig
[ ] MS indoktriniert
, um zu wechseln.
Freut mich Jan, dass die Welt für Dich so einfach ist :-)
Wie man ein Linux-Bootmedium bereitstellt und installiert ist sicher vielen bekannt. Es scheint jedoch Gründe zu geben, die für das Betriebssystem von Microsoft sprechen und sich in deinen 3 Punkten nicht wiederfinden.
Beispiel: Die Brachen-Software, seit Jahren bewährt, gibt es nicht für Linux…
Wer soll hier den ersten Schritt tun?
Dieses Thema führt seit über 20 Jahren zu nix.
Wenn Alle nur noch mit Apps im Browser arbeiten könnte die OS Frage gelöst sein. Es gibt jedoch Gründe eine Software *lokal* auszuführen.
Sehr treffend geantwortet.
Tja, Brachensoftware sollte man vielleicht dem Namen nach einfach brach liegen lassen und auf was Aktuelles, bestfalls browserbasiertes wechseln. Ist also wie so oft kein Argument, sondern nur eine Ablenkung um die eigene Faulheit zu kaschieren.
Schöne Theorie, wenn die Branchensoftware aber von einem Hersteller vorgegeben wird, kann man sich selber nicht umgucken und eine Browserbasierte alternative suchen.
Beispiel: Wenn du ein Autohaus hast und ggf. sogar offiziell ein Händler für eine Marke bist und dieser Hersteller seine Diagnosesoftware für die Werkstatt nur für Windows anbietet, machst du genau gar nichts dagegen. Klar, du kannst dir selber deine Existensgrundlage entziehen und dich dafür entscheiden kein Händler für diese Marke mehr zu sein, bringt dich aber nicht weiter.
Und es gibt da draußen eine Menge Windows exklusiver Branchensoftware für die es keine Browser oder Linuxalternative gibt.
Er redet von Brachensoftware, also veralteter Software….
Oder greift er nur den Schreibfehler des Beitrags auf, auf den er antwortet, um sich darüber lustig zu machen? Wie auch immer, ob Brach- oder Branchensoftware, nicht alles lässt sich einfach auf Linux oder Browser umstellen, weil man darauf gar kein Einfluss hat.
Das mit der Branchensoftare ist eine faule Ausrede. Ich habe bislang keine Software gesehen, die einzigartig ist und ausschließlich auf Windows läuft. Bislang gab es immer Alternativen, dei meist so gar besser waren, die auch auf GNU/Linux verfügbar waren.
Dann hospitier mal im Gesundheitswesen.
Kannst dich direkt noch mit den Ärzten rumschlagen und ihnen die neue Software vorschlagen.
ja und was genau schützt bei Linux, wenn ich einen Prozess mit root-rechten habe ein eigenes Kernel-modul als rootkit zu laden das man im Betrieb dann nahezu nicht findet?
Und deshalb kriegen es Leute wie du irgendwann knüppeldicke vom Personalrat.
Das Crowdstrike-Desaster war doch gefühlt auch erst gestern… Ring 0, was soll schon schiefgehen…
Wenn man OHNE administrative Rechte den Defender ausschalten könnte, wäre es ein Problem. So ist das aber unproblematisch.
"EoP" ist ein Zauberwort, dass einen vom User zum "Root" bringt. In einer idealen Welt gibt es das natürlich nicht.
Wenn ich mir überlege, wie viele (Privat-)Leute nur ein Konto auf dem Rechner haben und somit Admin sind, könnte ich mir vorstellen, dass da schon Einfallstore offen sind.
Veilleicht besteht ein Zusammenhang:
Ich erhalte in letzter Zeit auf 2 PCs im Benachrichtigungs-Center sporadisch die Meldung, dass der Viren- und Bedrohungs-Schutz ausgeschaltet ist. Ich gehe dann nachschauen, aber weisse Haken im grünen Kreis ist vorhanden.
Ich verwende keine Dritt-Anbieter-Lösung, sondern den mit Win 11 gelieferten Defender und Firewall.
Auf beiden PCs ist das installiert:
Edition Windows 11 Pro Insider Preview
Version 26H2
Installiert am 31.07.2026
Auswertung läuft ab am 01.11.2027 00:43
Betriebssystembuild 26340.9233
Funktionspaket Windows Feature Experience Pack 1000.26100.446.0
Ob ein Zusammenhang mit dem Insider-Programm besteht, weiss ich nicht.
Manche "Branchen /Brachensoftware" läuft nur mit erhöhten "Rechten". Wenn unter anderen "alternativen Betriebssystemen" nur unter "geänderten Geschäftsbedingungen" und eingeschränktem Support (das "Gleiche" gilt für "VMs"). Das einstellen des "Defenders" ist noch überschaubar, bei der Anleitung zu "Fremd-AV-Anbietern gabs frueher ellenlange Anleitungen: A la wie Sie bei G-Data vermeiden dass bei updates…; bei Kaspersky den "Ransomwareschutz" umgehen, wenn Sie "verschlüssen"… PVS muss Abrechnungsdaten verschlüesseln.
Wie oft mir Windows-Updates auf privaten und auf beruflich genutzten Rechnern den selbst eingerichteten "individuellen Hintergrund" im Desktop und im Anmelde-Sperrbildschirm gegen einen Windows -Standard Hintergrund ausgetauscht habenn haben will ich gar nicht rekapitulieren (sehr oft).
Inzwischen glaube ich zu 50% an die "Verschwoerungstheorie": Dass "befugte / staatlich authorisierte mit oder ohne richterlichem Beschluss / cloud act, whatever anhand des Sperrbildschirms und oder anderer nach aussen offener… Datenkanäle… fuer die Oeffnung bzw. "Entriegelung des PC´s, das passende Werkzeugbesteck auswählen und einsetzen dürfen. Da ist es doch sehr hilfreich, wenn man anhand des Sperrbildschirmhintergrundbildes weiss , welche "Windows-Suite" auf der Kiste läuft…
Wenn der 2`nd Level Support mit Fernwartungssoftware sich direkt in das Praxisprogramm ohne (Password etc….), muss das doch auch so aehnlich für das eingesetzte Betriebssystem "potentiell" möglich sein. Jede Windows-Version hat doch 5 Standart-Hintergrund-Bilder…