Project Zero: Microsofts Antivirensoftware gefährdet Windows-Nutzer

Googles Project Zero hat eine schwerwiegende Sicherheitslücke in der Anti-Viren-Engine von Microsoft entdeckt. Schuld daran ist die simulierte Ausführung von Javascript-Code ohne Sandbox.

Artikel von Hanno Böck veröffentlicht am
Windows Defender hat eine Sicherheitslücke.
Windows Defender hat eine Sicherheitslücke. (Bild: Screenshot Golem.de)

Microsoft hat eine kritische Sicherheitslücke im Antivirenprogramm von Windows geschlossen. Bereits vor einigen Tagen verursachte Tavis Ormandy mit einem Tweet einigen Wirbel. Zusammen mit Natalie Silvanovich habe er gerade einen schlimmen Remote-Code-Execution-Bug in Windows entdeckt. Jetzt sind die Details bekannt: Der Fehler befindet sich in Microsofts Malware Protection Engine, die seit Windows 8 standardmäßig aktiviert ist. Sie wird von der Windows-eigenen Antivirensoftware Defender genutzt.

Um Schadsoftware in Javascript-Code zu finden, simuliert dieser Service die Ausführung von Javascript-Code. Und das, wie Ormandy bemerkt, mit hohen Systemprivilegien und ohne jede Sandbox-Funktionalität.

Type Confusion im Javascript-Interpreter ohne Sandbox

Der Fehler selbst ist eine Type Confusion. Die toString()-Funktion eines Fehlerobjekts akzeptiert einen Parameter mit Namen message und geht davon aus, dass es sich dabei um einen String handelt. Allerdings wird dies nicht geprüft. Durch den Bug kann ein Angreifer Kontrolle über das System erlangen und Code ausführen.

Laut dem Google-Bugreport lässt sich der Fehler relativ einfach ausnutzen. Ein Windows-System startet diese Javascript-Engine bei jedem Dateizugriff. So muss ein Angreifer nur irgendwie dafür sorgen, dass die Datei auf das System gelangt, etwa via E-Mail oder über eine Webseite.

Einen Angriff zu erkennen, ist außerdem fast unmöglich: Die Malware Protection Engine enthält laut Silvanovich und Ormandy unzählige Parser für exotische Archivierungsformate, somit hat ein Angreifer viele Möglichkeiten, den Javascript-Code zu verstecken.

Microsoft hat heute ein Update für alle Windows-Versionen ab Windows 7 bereitgestellt. Windows-Anwender sollten dieses umgehend installieren. Microsoft weist noch darauf hin, dass der Einsatz von Control Flow Guard das Risiko eines erfolgreichen Exploits deutlich senkt. Control Flow Guard ist eine Exploit-Mitigation-Technologie und wird in Windows 8.1 und Windows 10 genutzt.

An Antivirenprogrammen gab es in jüngerer Zeit viel Kritik. Doch gerade die Windows-eigene Anti-Viren-Engine galt vielen Sicherheitsexperten als vergleichsweise weniger schlimm. Anders als viele Antivirenhersteller hat Microsoft relativ gute Sicherheitsprozesse und nutzt auch eigene ausgefeilte Tools, um Sicherheitslücken in Windows zu finden.

Moderne Antivirensoftware bietet mehr Angriffsfläche

Angesichts der jetzt entdeckten Lücke dürften jedoch manche an diesem Ratschlag zweifeln. Letztendlich zeigt der Fehler auch das Dilemma der gesamten Antivirenbranche. Früher haben Virenscanner vor allem auf Virensignaturen gesetzt und bestimmte, bekannte Malware erkannt. Doch angesichts der Fülle an neuer Malware ist dieser Ansatz heute immer weniger hilfreich.

Stattdessen versucht moderne Antivirensoftware in der Regel, das Verhalten von Malware zu erkennen oder diese mittels Cloud-basierter Lösungen zu analysieren. Doch diese modernen Verfahren führen dazu, dass Antivirensoftware selbst eine immer größere Angriffsfläche bietet. Aus dem vermeintlichen Malware-Schutz wird damit immer mehr selbst ein Sicherheitsrisiko.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


James Jordaan 31. Mai 2017

Hallo, Freunde, ich bin auch mit Microsoft Antivirus-Software ist es wirklich tolle...

Schnarchnase 12. Mai 2017

Sagt der, der Blödsinn wie "Server != Desktop" schreibt. Du kannst genauso gut Server...

SkeeveDCD 10. Mai 2017

Und genau diese Aussagen hinterfrage ich. Microsoft hat sicher viel an der Sicherheit...

Truster 10. Mai 2017

Wenn man KEINE Ahnung hat... /ignore



Aktuell auf der Startseite von Golem.de
JPEG XL
Die Browserhersteller sagen nein zum Bildformat

JPEG XL ist das überlegene Bildformat. Aber Chrome und Firefox brechen die Implementierung ab. Wir erklären das Format und schauen auf die Gründe für die Ablehnung.
Eine Analyse von Boris Mayer

JPEG XL: Die Browserhersteller sagen nein zum Bildformat
Artikel
  1. Walking Simulator: Gameplay von The Day Before erntet Spott
    Walking Simulator
    Gameplay von The Day Before erntet Spott

    Nach Betrugsvorwürfen haben die Entwickler von The Day Before nun Gameplay veröffentlicht - das nicht besonders gut ankommt.

  2. Knockout City: Drei Games-as-a-Service weniger in einer Woche
    Knockout City
    Drei Games-as-a-Service weniger in einer Woche

    Rumbleverse, Apex Legends Mobile und Knockout City: Innerhalb weniger Tage heißt es Game Over für drei bekannte Multiplayerspiele.

  3. Lasertechnik: Hoffnung auf Femtosekundenlaser für die Hosentasche
    Lasertechnik
    Hoffnung auf Femtosekundenlaser für die Hosentasche

    An der Universität Yale wurde ein Titan-Saphir-Laser auf einem Chip erzeugt und fortgeschrittene Lasertechnik auf Millimetergröße geschrumpft.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Mindfactory DAMN-Deals: Grakas, CPUs & Co. • HTC Vice 2 Pro Full Kit 899€ • RAM-Tiefstpreise • Amazon-Geräte bis -50% • Samsung TVs bis 1.000€ Cashback • Corsair HS80 7.1-Headset -42% • PCGH Cyber Week • Samsung Curved 27" WQHD 267,89€ • Samsung Galaxy S23 vorbestellbar [Werbung]
    •  /