Schwachstelle Kernel-Treiber

Forscher hebeln Virenschutzprogramme aus

Sicherheitsforscher haben einen Weg gefunden, wie sich der Schutz von nahezu allen aktuellen Anti-Viren-Programmen aushebeln lässt. Über eine Kernel Hook lässt sich unter Umständen Schadcode an der Sicherheitssoftware vorbeischmuggeln.

Virenforscher von Matousec haben eine neue Studie veröffentlicht, in der sie eine Technik beschreiben, mit der sich die Sicherheitsfunktionen von Schutzprogrammen aushebeln lassen. Die Technik wird von den Forschern KHOBE, kurz für Kernel Hook Bypassing Engine, genannt. Damit nutzen die Forscher die Treiber-Hooks, die tief ins Windows Betriebssystem integriert sind. Darüber wird harmloser Code geschickt, den die Sicherheitstools zulassen - vor dem Ausführen wird dieser allerdings mit Schadcode ausgetauscht. Auch wenn dieser Vorgang simpel klingt, ist er alles andere als einfach. Für eine erfolgreiche Attacke muss das Timing genau richtig sein - laut Matousec-Forschern hilft die Multi-Core-Architektur moderner Systeme hier allerdings den Angreifern.

Um eine Sicherheitssoftware austricksen zu können, muss diese SSDT, die System Service Descriptor Table, verwenden. Leider wird diese von einem Großteil der Programme verwendet, die Forscher konnten unter anderem Schutz-Software von Symantec, F-Secure, Kaspersky, CA, Comodo, Avira, AVG oder McAfee aushebeln. Die komplette Liste sowie eine genaue Erläuterung zu KHOBE haben die Forscher auf der Homepage von Matousec online gestellt. (mja)