Sicherheitsanalysten von Check Point Research haben eine Methode identifiziert, mit der ein legitimer und digital signierter Treiber von Microsoft Defender dazu verwendet werden kann, Sicherheitssysteme auf Windows-Rechnern gezielt auszuschalten.
Im Mittelpunkt der Untersuchung steht der Boot-Reparatur-Treiber BTR.sys, der als Teil der Antiviren-Lösung von Microsoft auf Millionen Systemen installiert ist. Wie die Forscher kürzlich berichteten, ermöglicht ein neues Automatisierungswerkzeug namens BTR_CLI den Missbrauch dieses Treibers, um Schutzmechanismen auf Kernel-Ebene zu manipulieren oder vollständig zu löschen.
Automatisierung hebelt Kontrollinstanzen aus
Der Kern der Entdeckung liegt in der Automatisierung des Angriffs. Das Tool BTR_CLI ist laut den Experten darauf ausgelegt, den sogenannten Service Control Manager von Windows zu umgehen. Dies hat zur Folge, dass der Missbrauch des Treibers keine Spuren in Form des üblichen Protokolleintrags „Event ID 7045“ hinterlässt, welcher normalerweise die Installation eines neuen Dienstes markiert. Diese als „BTR Reforged“ bezeichnete Technik nutzt die legitimen Fähigkeiten des Treibers aus, der ursprünglich für Datei- und Registrierungsoperationen während des Systemstarts vorgesehen ist.
Der Treiber BTR.sys ist innerhalb der Datei MpEngine.dll von Microsoft Defender eingebettet. Die Kommunikation mit dem Treiber erfolgt über eine RC4-Verschlüsselung, die laut der Analyse von Check Point Research jedoch einen hartcodierten Schlüssel verwendet. Dies erleichtert es potenziellen Angreifern, den Treiber für eigene Zwecke zu instrumentalisieren, sobald sie Zugriff auf das System haben.
Berichte über Schwachstellen in Systemtreibern verunsichern viele Nutzer bei der täglichen Arbeit am PC. Wie Sie typische Windows-Probleme und Sicherheitsrisiken auch ohne teuren IT-Service selbst in den Griff bekommen, zeigt dieser kompakte Ratgeber. Windows 11 Probleme jetzt selbst beheben
Betroffene Systeme und Voraussetzungen
Die Reichweite dieser Schwachstelle erstreckt sich über eine Vielzahl von Betriebssystemgenerationen. Den Angaben zufolge sind Systeme von Windows 7 bis hin zur aktuellen Version Windows 11 25H2 betroffen.
Im Rahmen einer Demonstration auf der Fachkonferenz Black Hat zeigten die Forscher, wie der gesamte Sicherheits-Stack von Microsoft Defender auf einem System unter Windows 11 25H2 gelöscht werden konnte. Bemerkenswert war hierbei, dass der Angriff selbst dann erfolgreich war, wenn die Funktion „Tamper Protection“ (Manipulationsschutz) aktiviert war.
Wer sich mit der Absicherung seines Betriebssystems befasst, sollte auch für den Ernstfall eines Systemausfalls vorsorgen. Erfahren Sie in dieser Anleitung, wie Sie einen Rettungs-Stick erstellen, um Windows jederzeit sicher neu zu starten oder zu reparieren. Anleitung für Windows 11 Notfall-Stick kostenlos anfordern
Trotz der kritischen Natur der Erkenntnisse ist die Durchführung eines solchen Angriffs an hohe Hürden gebunden. Die Sicherheitsforscher betonten, dass es sich nicht um eine klassische Sicherheitslücke handelt, die aus der Ferne ausgenutzt werden kann. Ein Angreifer benötigt bereits Administratorrechte auf dem Zielsystem sowie das spezifische Recht „SeLoadDriverPrivilege“, um den manipulierten Zugriff über den BTR.sys-Treiber zu initiieren.
Microsoft sieht vorerst keinen Handlungsbedarf
Bisher wurden laut Check Point Research keine Fälle beobachtet, in denen diese Technik in der realen Welt für Angriffe eingesetzt wurde. Dies könnte ein Grund für die abwartende Haltung des Softwareherstellers sein. Microsoft hat das Problem den Berichten zufolge analysiert, stuft es jedoch nicht als unmittelbar wartungsbedürftig ein.
Dementsprechend wurde bislang kein Patch bereitgestellt, um die beschriebene Nutzung des Treibers zu unterbinden. Eine offizielle öffentliche Stellungnahme seitens Microsoft zu den Details der Untersuchung steht derzeit noch aus. Experten raten Unternehmen dennoch dazu, die Vergabe von Administratorrechten streng zu überwachen, da diese die Grundvoraussetzung für den beschriebenen Missbrauch des legitimen Treibers darstellen.
