Neue BYOVD-Attacke kann Microsoft Defender umgehen und Ransomware installieren – wie man sich schützen kann

Ein neuer BYOVD-Angriff gefährdet Windows-Systeme, indem er legitime Treiber ausnutzt. Dieser Leitfaden bietet wichtige Schutzmaßnahmen zur Abwehr und Sicherung Ihres Systems.

Ein neuer BYOVD (Bring Your Own Vulnerable Driver) Angriff nutzt einen legitimen, signierten Treiber mit einer Schwachstelle aus. Dadurch können Angreifer die Ausführung von Code auf Kernel-Ebene erreichen, Microsoft Defender umgehen und Ransomware installieren. Um nicht Opfer zu werden, befolgen Sie die Schutzmaßnahmen in diesem Leitfaden.

Wie der BYOVD-Angriff den Schutz von Microsoft Defender umgeht

Dieser BYOVD-Angriff nutzt den Treiber rwdrv.sys, um Zugriff auf Kernel-Ebene zu erlangen und dann den bösartigen Treiber hlpdrv.sys zu installieren, der die Microsoft Defender-Schutzmaßnahmen aus der Registrierungsdatenbank deaktiviert. Der Treiber rwdrv.sys wird normalerweise von Optimierungsanwendungen wie Throttlestop oder einigen Lüftersteuerungsanwendungen verwendet. Es handelt sich um einen legitimen Treiber, der jedoch ausgenutzt werden kann, um Zugriff auf Kernel-Ebene zu erhalten. So funktioniert der Angriff:

• Die Hacker erhalten Zugriff auf den PC. Dies geschieht normalerweise durch das Kompromittieren des Netzwerks, kann jedoch auch mithilfe von Remote Access Trojans (RAT) erfolgen.
• Sie installieren den rwdrv.sys-Treiber, dem Windows standardmäßig vertraut.
• Mit dem rwdrv.sys-Treiber erlangen sie Kernel-Rechte, um den bösartigen Treiber hlpdrv.sys zu installieren.
• hlpdrv.sys bearbeitet die Werte in der Windows-Registrierung, um die Microsoft Defender-Schutzmaßnahmen zu deaktivieren.
• Mit deaktivierten Schutzmaßnahmen installiert der Angreifer Ransomware oder führt andere bösartige Tools aus.

Bis jetzt wird die Akira-Ransomware mit diesen Angriffen in Verbindung gebracht, aber mit deaktivierten Schutzmaßnahmen können böswillige Akteure tun, was sie wollen. Befolgen Sie die untenstehenden Schutzmaßnahmen, um sicher zu bleiben:

Windows-Sicherheitsfunktionen aktivieren

Es gibt Windows-Sicherheitsfunktionen, die solche Angriffe verhindern oder sogar schützen können, wenn die Microsoft Defender-Schutzmaßnahmen deaktiviert sind. Suchen Sie nach „Windows-Sicherheit“ in der Windows-Suche, öffnen Sie die Windows-Sicherheits-App und aktivieren Sie die folgenden Sicherheitsfunktionen, die standardmäßig deaktiviert sind.

• Kontrollierter Ordnerzugriff: Diese Funktion bietet Schutz vor Ransomware-Angriffen, selbst wenn die Defender-Schutzmaßnahmen deaktiviert sind. Gehen Sie zu Viren- & Bedrohungsschutz → Einstellungen verwalten → Kontrollierten Ordnerzugriff verwalten und aktivieren Sie den Schalter für Kontrollierten Ordnerzugriff. Sie können dann geschützte Ordner hinzufügen, die Ransomware-Angriffen widerstehen.

• Kernisolationsfunktionen: Die Kernisolationsfunktionen können die Installation von anfälligen Treibern und die Ausführung von bösartigem Code verhindern. Wenn alle aktiviert sind, erhöht sich die Sicherheit erheblich, und BYOVD kann möglicherweise nicht einmal ins System eindringen. Gehen Sie zu Gerätesicherheit und öffnen Sie die Details zur Kernisolierung. Sie sollten hier alle Funktionen aktivieren, aber die Speicherintegrität erfordert möglicherweise das Management von Treibern, um sie zu aktivieren.

Kernel-Level-Dienstprogramme deinstallieren, wenn sie nicht notwendig sind

Viele Dienstprogramme, die auf Kernel-Ebene arbeiten, verwenden den Treiber rwdrv.sys. Wenn dieser anfällige Treiber bereits vorhanden ist, erleichtert er es Hackern erheblich, da sie keine eigene Kopie installieren müssen. Tatsächlich wurden bei jüngsten Angriffen der bereits installierte Treiber genutzt. Wenn es nicht notwendig ist, sollten Sie Dienstprogramme vermeiden, die rwdrv.sys installieren, wie Throttlestop oder RWEverything.

Um zu bestätigen, ob Sie rwdrv.sys installiert haben, suchen Sie nach „cmd“ in der Windows-Suche, klicken Sie mit der rechten Maustaste auf Eingabeaufforderung und wählen Sie Als Administrator ausführen. Führen Sie hier den Befehl where /r C:\ rwdrv.sys aus und lassen Sie ihn scannen. Wenn der rwdrv.sys-Treiber gefunden wird, müssen Sie die App finden, die ihn installiert hat, und ihn deinstallieren.

Ein Standardkonto für den täglichen Gebrauch verwenden

Für den besten Schutz empfehlen wir immer, kein Administratorkonto zu verwenden und für den täglichen Gebrauch auf ein Standardkonto zu setzen. Dies ist insbesondere gegen BYOVD wichtig. Dieser Angriff ist stark auf Administratorrechte angewiesen, um den anfälligen Treiber zu installieren oder zu nutzen.

In einem Standardkonto können die Hacker keine erhöhten Änderungen am PC vornehmen, sodass der Angriff beim Beginn stoppt. Wenn sie es doch versuchen, werden Sie über die Aktion benachrichtigt. Um ein neues Standardkonto zu erstellen, öffnen Sie die Windows-Einstellungen und gehen Sie zu Konten → Andere Benutzer → Benutzer hinzufügen. Befolgen Sie die Anweisungen, um ein neues Konto zu erstellen und es als Standard festzulegen.

Eine andere Antivirensoftware verwenden

Dieser Angriff enthält spezifische Anweisungen zum Deaktivieren der Microsoft Defender-Schutzmaßnahmen; dieselben Anweisungen funktionieren nicht für andere.

Drittanbieter Antivirus-Software

Drittanbieter Antivirus-Programme verwenden unterschiedliche Methoden, um die Funktionen Schutz ein/aus zu verwalten. Solche Angriffe können sie nicht mit einer universellen Anweisung ausnutzen.

Installieren Sie einfach ein beliebiges kostenloses Antivirus-Programm mit Echtzeitschutz, um sicher zu bleiben, wie Avast oder AVG Antivirus.

Sicherheitsforschung

Sicherheitsforscher (GuidePoint, Kaspersky und andere) haben bereits die Akira-Ransomware verfolgt, die rwdrv.sys in BYOVD-Angriffen verwendet, und haben IoCs veröffentlicht. Hoffentlich wird Microsoft in naher Zukunft etwas gegen diese Bedrohung unternehmen. Um sicher zu sein, aktivieren Sie alle Sicherheitsfunktionen von Windows, insbesondere die erweiterten Funktionen von Microsoft Defender.