Microsoft Defender Sicherheitslücke ermöglicht Einnisten von Malware

Microsofts eigene Virenscanner-Lösung sichert sich in Expertentests immer wieder den Spitzenplatz. Jetzt sorgt eine fiese Microsoft Defender Sicherheitslücke dafür, dass verstreckte Malware sich auf PCs und Notebooks einnisten kann.

Microsoft Defender Sicherheitslücke unter Windows 10

Eine Schwachstelle bei den Zugriffsrechten sorgt aktuell für eine ärgerliche Microsoft Defender Sicherheitslücke. Diese ermöglicht es Schadsoftware, sich vor dem Virenscanner zu verstecken und so PCs und Notebooks zu infizieren.

Jeder angemeldete Nutzer ist mithilfe eines einfachen Befehls in der Lage, die Liste der Scan-Ausnahmen des Microsoft-Virenscanners auszulesen. Wird Malware in diesem Verzeichnis platziert, wird sie für die Suche nach Bedrohungen unsichtbar.

IT-Sicherheitsforscher Antonio Cocomazzi von SentinelOne berichtet via Twitter über die Sicherheitslücke. Ob diese aktuell bereits aktiv ausgenutzt wird, lässt sich nicht mit Sicherheit sagen.

https://twitter.com/splinter_code/status/1481073265380581381

Dabei sind allerdings nicht nur lokale Ausnahmeregeln auf Einzelsystem betroffen, sondern auch Windows-Domänen mit über Gruppenrichtlinien festgelegten Scan-Ausnahmen. Betroffen von der Sicherheitslücke seien Windows 10 Build 21H1 sowie Build 21H2, Windows 11 weist die Microsoft Defender Sicherheitslücke hingegen nicht auf.

Bereits im Mai 2021 berichtete Paul Bolten via Twitter über die Lücke, die seither allerdings noch immer nicht geschlossen wurde.

Leichtes Spiel

Die Leserechte für alle Nutzer beziehungsweise „Authentifizierte Benutzer“ macht es Malware-Software leicht, auf den PC zuzugreifen. Professionelle Angreifer können die Schadsoftware allerdings mit etwas mehr Aufwand auch vor Antivirenlösungen anderer Anbieter verstecken, ohne die Scan-Ausnahmen zu nutzen.

Hersteller von Antivirussoftware stellen regelmäßig neue Signaturen und auch heuristische Methoden zur Verfügung, die meist binnen weniger Minuten bereits geknackt werden. Damit hat die Malware in einer angepassten Version wieder leichtes Spiel. Diesen Schritt vereinfacht die Microsoft Defender Sicherheitslücke unnötigerweise zusätzlich.

So behebt man die Sicherheitslücke

Eine Überprüfung und Anpassung der Rechte ist mithilfe des Registrierungseditor regedit für erfahrene Anwender jedoch kein Problem. Dies lässt sich einfach in dem folgenden Pfad einsehen:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions

Ob Microsoft das Problem mit einem Update angehen und beheben kann, ist unklar.