Was ist passiert?
Check Point Research hat eine kritische Sicherheitslücke in Microsoft Defender aufgedeckt: Das Sicherheitstool nutzt einen Boot-Zeit-Treiber namens BTR.sys (Boot Time Removal Tool), der von Angreifern missbraucht werden kann, um beliebige Sicherheitssoftware zu löschen. Die Gefahr ist erheblich, da kein Software-Fehler ausgenutzt wird und der legitimately signierte Treiber bereits auf betroffenen Systemen vorhanden ist – von Windows 7 bis Windows 11 25H2.
Hintergrund & Bedeutung
Der BTR.sys-Treiber wurde von Microsoft speziell dafür entwickelt, infizierte Dateien während des Boot-Vorgangs zu entfernen. Ein Angreifer kann diesen Treiber jedoch für Kernel-Level-Operationen missbrauchen und damit beliebige Dateien und Registry-Einträge manipulieren. Das ist besonders gefährlich, da der Treiber mit höchsten Privilegien lädt und keiner Überprüfung durch Windows Defender unterliegt. Dies ermöglicht es Angreifern, konkurrierende Sicherheitssoftware zu deaktivieren oder zu löschen – ein klassisches Persistence- und Privilege-Escalation-Szenario.
Empfehlungen für IT-Teams
- Sofortmaßnahmen: Überprüfen Sie Ihre Windows-Systeme auf verdächtige BTR.sys-Aktivitäten in Boot-Logs und Event-Viewern.
- Patch Management: Installieren Sie verfügbare Sicherheitsupdates von Microsoft regelmäßig.
- Monitoring: Implementieren Sie erweiterte Endpoint Detection & Response (EDR)-Lösungen, um anomale Kernel-Operationen zu erkennen.
- Zugriffskontrolle: Beschränken Sie administrative Rechte und überwachen Sie Benutzer mit erhöhten Privilegien.
Fazit
Diese Schwachstelle zeigt, dass selbst vertrauenswürdige Sicherheitstools zur Waffe werden können. Ein umfassendes Sicherheitskonzept mit mehrschichtiger Abwehr ist unverzichtbar.
Quelle: Original Artikel