Abo
  • IT-Karriere:

Project Zero: Microsofts Antivirensoftware gefährdet Windows-Nutzer

Googles Project Zero hat eine schwerwiegende Sicherheitslücke in der Anti-Viren-Engine von Microsoft entdeckt. Schuld daran ist die simulierte Ausführung von Javascript-Code ohne Sandbox.

Artikel von Hanno Böck veröffentlicht am
Windows Defender hat eine Sicherheitslücke.
Windows Defender hat eine Sicherheitslücke. (Bild: Screenshot Golem.de)

Microsoft hat eine kritische Sicherheitslücke im Antivirenprogramm von Windows geschlossen. Bereits vor einigen Tagen verursachte Tavis Ormandy mit einem Tweet einigen Wirbel. Zusammen mit Natalie Silvanovich habe er gerade einen schlimmen Remote-Code-Execution-Bug in Windows entdeckt. Jetzt sind die Details bekannt: Der Fehler befindet sich in Microsofts Malware Protection Engine, die seit Windows 8 standardmäßig aktiviert ist. Sie wird von der Windows-eigenen Antivirensoftware Defender genutzt.

Stellenmarkt
  1. Deloitte, verschiedene Einsatzorte
  2. Zentrum Bayern Familie und Soziales, Bayreuth

Um Schadsoftware in Javascript-Code zu finden, simuliert dieser Service die Ausführung von Javascript-Code. Und das, wie Ormandy bemerkt, mit hohen Systemprivilegien und ohne jede Sandbox-Funktionalität.

Type Confusion im Javascript-Interpreter ohne Sandbox

Der Fehler selbst ist eine Type Confusion. Die toString()-Funktion eines Fehlerobjekts akzeptiert einen Parameter mit Namen message und geht davon aus, dass es sich dabei um einen String handelt. Allerdings wird dies nicht geprüft. Durch den Bug kann ein Angreifer Kontrolle über das System erlangen und Code ausführen.

Laut dem Google-Bugreport lässt sich der Fehler relativ einfach ausnutzen. Ein Windows-System startet diese Javascript-Engine bei jedem Dateizugriff. So muss ein Angreifer nur irgendwie dafür sorgen, dass die Datei auf das System gelangt, etwa via E-Mail oder über eine Webseite.

Einen Angriff zu erkennen, ist außerdem fast unmöglich: Die Malware Protection Engine enthält laut Silvanovich und Ormandy unzählige Parser für exotische Archivierungsformate, somit hat ein Angreifer viele Möglichkeiten, den Javascript-Code zu verstecken.

Microsoft hat heute ein Update für alle Windows-Versionen ab Windows 7 bereitgestellt. Windows-Anwender sollten dieses umgehend installieren. Microsoft weist noch darauf hin, dass der Einsatz von Control Flow Guard das Risiko eines erfolgreichen Exploits deutlich senkt. Control Flow Guard ist eine Exploit-Mitigation-Technologie und wird in Windows 8.1 und Windows 10 genutzt.

An Antivirenprogrammen gab es in jüngerer Zeit viel Kritik. Doch gerade die Windows-eigene Anti-Viren-Engine galt vielen Sicherheitsexperten als vergleichsweise weniger schlimm. Anders als viele Antivirenhersteller hat Microsoft relativ gute Sicherheitsprozesse und nutzt auch eigene ausgefeilte Tools, um Sicherheitslücken in Windows zu finden.

Moderne Antivirensoftware bietet mehr Angriffsfläche

Angesichts der jetzt entdeckten Lücke dürften jedoch manche an diesem Ratschlag zweifeln. Letztendlich zeigt der Fehler auch das Dilemma der gesamten Antivirenbranche. Früher haben Virenscanner vor allem auf Virensignaturen gesetzt und bestimmte, bekannte Malware erkannt. Doch angesichts der Fülle an neuer Malware ist dieser Ansatz heute immer weniger hilfreich.

Stattdessen versucht moderne Antivirensoftware in der Regel, das Verhalten von Malware zu erkennen oder diese mittels Cloud-basierter Lösungen zu analysieren. Doch diese modernen Verfahren führen dazu, dass Antivirensoftware selbst eine immer größere Angriffsfläche bietet. Aus dem vermeintlichen Malware-Schutz wird damit immer mehr selbst ein Sicherheitsrisiko.



Anzeige
Top-Angebote
  1. 47,95€
  2. 185,00€ (Bestpreis + Geschenk!)
  3. 98,00€ (Bestpreis!)
  4. 469,00€

James Jordaan 31. Mai 2017

Hallo, Freunde, ich bin auch mit Microsoft Antivirus-Software ist es wirklich tolle...

Schnarchnase 12. Mai 2017

Sagt der, der Blödsinn wie "Server != Desktop" schreibt. Du kannst genauso gut Server...

SkeeveDCD 10. Mai 2017

Und genau diese Aussagen hinterfrage ich. Microsoft hat sicher viel an der Sicherheit...

Truster 10. Mai 2017

Wenn man KEINE Ahnung hat... /ignore

sedremier 10. Mai 2017

XD Also so weit würde ich jetzt echt nicht gehen.


Folgen Sie uns
       


Cinebench R20 auf Threadripper 2950X ausprobiert

Cinebench R20 soll mit bis zu 256 Threads umgehen können.

Cinebench R20 auf Threadripper 2950X ausprobiert Video aufrufen
P30 Pro im Kameratest: Huawei baut die vielseitigste Smartphone-Kamera
P30 Pro im Kameratest
Huawei baut die vielseitigste Smartphone-Kamera

Huawei will mit dem P30 Pro seinen Vorsprung vor den Smartphone-Kameras der Konkurrenez ausbauen - und schafft es mit einigen grundlegenden Veränderungen.
Ein Test von Tobias Költzsch

  1. CIA-Vorwürfe Huawei soll von chinesischer Regierung finanziert werden
  2. Huawei-Gründer "Warte auf Medikament von Google gegen Sterblichkeit"
  3. 5G-Ausbau Sicherheitskriterien führen nicht zu Ausschluss von Huawei

Falcon Heavy: Beim zweiten Mal wird alles besser
Falcon Heavy
Beim zweiten Mal wird alles besser

Die größte Rakete der Welt fliegt wieder. Diesmal mit voller Leistung, einem Satelliten und einer gelungenen Landung im Meer. Die Marktbedingungen sind für die Schwerlastrakete Falcon Heavy in nächster Zeit allerdings eher schlecht.
Von Frank Wunderlich-Pfeiffer und dpa

  1. SpaceX Raketenstufe nach erfolgreicher Landung umgekippt
  2. Raumfahrt SpaceX zündet erstmals das Triebwerk des Starhoppers
  3. Raumfahrt SpaceX - Die Rückkehr des Drachen

Urheberrechtsreform: Was das Internet nicht vergessen sollte
Urheberrechtsreform
Was das Internet nicht vergessen sollte

Die Reform des europäischen Urheberrechts ist eine Niederlage für viele Netzaktivisten. Zwar sind die Folgen der Richtlinie derzeit kaum absehbar. Doch es sollten die richtigen Lehren aus der jahrelangen Debatte mit den Internetgegnern gezogen werden.
Eine Analyse von Friedhelm Greis

  1. Leistungsschutzrecht VG Media will Milliarden von Google
  2. Urheberrecht Uploadfilter und Leistungsschutzrecht endgültig beschlossen
  3. Urheberrecht Merkel bekräftigt Zustimmung zu Uploadfiltern

    •  /