Norton SystemWorks enthält Rootkit-Funktion

Symantec bietet Patch zur Abschaltung der Rootkit-Fähigkeit. In der Sicherheitssoftware-Lösung Norton SystemWorks steckt – wie jetzt bekannt wurde – eine Rootkit-Funktion, über die Angreifer schadhaften Programmcode verbergen könnten. Virenscanner oder andere Schutzsoftware kann die Schadsoftware nicht erkennen, weil das betreffende Verzeichnis vor dem gesamten Windows-System verborgen wird. Solche Rootkit-Fähigkeiten haben kürzlich den Plattenkonzern Sony BMG massiv unter Druck gesetzt.

12. Januar 2006 um 13:55 Uhr / Ingo Pakalski

Das Symantec-Produkt Norton SystemWorks besitzt in den Versionen 2005 und 2006 ein spezielles Verzeichnis innerhalb des Windows-Papierkorbs, das sich komplett vor dem Windows-System verbirgt. Diesen NProtect genannten Ordner verwendet die Software, um versehentlich vom Nutzer gelöschte Dateien abzulegen und diese so wieder herstellen zu können.

Angreifer könnten das Verzeichnis NProtect aber dazu missbrauchen, darin Schadsoftware abzulegen. Weil dieses Verzeichnis für das gesamte Windows-System unsichtbar ist, können Virenscanner oder andere Sicherheitssoftware nicht darauf zugreifen und darin befindliche Schädlinge demzufolge auch nicht erkennen.

Symantec hat nach eigenen Aussagen den Ordner NProtect versteckt, um zu verhindern, dass Anwender darin befindliche Dateien versehentlich manuell löschen. Vermutlich sorgte der Aufruhr rund um das DRM-System von Sony BMG nun dafür, dass Symantec dieses Verhalten mit einem Update abschaltet.

Sony BMG sah sich jüngst massiver Kritik ausgesetzt, weil der Plattenkonzern mit dem DRM-System XCP eine Software einsetzte, die auf Rechnern Rootkit-Funktionen hinterließ, worüber sich andere Schadsoftware unbemerkt vom Nutzer auf betroffenen Systemen einnisten konnte.

Symantec bietet über die Update-Funktion von Norton SystemWorks 2005 und 2006 eine aktualisierte Programmversion, die das Verzeichnis NProtect sichtbar macht und nicht mehr vor dem Windows-System verbirgt.