Was ist passiert?
Sicherheitsforscher von Check Point Research haben eine kritische Schwachstelle in Microsoft Defender aufgedeckt. Der legitimately signed Boot-Treiber BTR.sys (Boot Time Removal Tool) kann von Angreifern missbraucht werden, um beliebige Kernel-Level-Operationen auf Windows-Systemen durchzuführen. Dies ermöglicht das Löschen von Sicherheitssoftware bereits beim Systemstart – ohne dabei einen Software-Fehler auszunutzen oder externe Treiber zu benötigen.
Hintergrund & Bedeutung
Das BTR.sys-Modul ist ein legitimates Microsoft-Komponente, die bei Bedarf Dateien und Registrierungseinträge auf Kernel-Ebene manipulieren darf. Genau diese Berechtigung wird zur Schwachstelle: Angreifer können die vertrauenswürdige Signatur des Treibers ausnutzen, um ihre eigenen Befehle auszuführen. Betroffen sind alle Windows-Versionen von Windows 7 bis Windows 11 25H2. Da kein echtes Sicherheitsloch vorhanden ist, fällt dies unter einen sogenannten „Living off the Land“-Angriff, der systemische Komponenten gegen das System selbst einsetzt.
Empfehlungen für IT-Teams
- Systemstarts überwachen und verdächtige BTR.sys-Aktivitäten protokollieren
- Driver Load-Vorgänge durch EDR-Lösungen (Endpoint Detection & Response) überwachen
- Privilegierte Konten stärker schützen, da Admin-Rechte zur Ausnutzung nötig sind
- Regelmäßige Windows-Updates durchführen und auf Microsoft-Sicherheitsmitteilungen achten
- Mehrschichtiges Sicherheitskonzept implementieren, das nicht nur auf einzelne Tools verlässt
Fazit
Diese Entdeckung unterstreicht, dass selbst Microsoft-Komponenten zur Waffe gegen das System werden können. IT-Teams sollten Verteidigungsstrategien diversifizieren und nicht ausschließlich auf Windows Defender vertrauen.
Quelle: Original Artikel