Systeme auf die neuesten Patches aktualisieren und auf ungewöhnliche Aktivitäten achten.
▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- Wird laut Meldung tatsaechlich ausgenutzt: in the wild+12
- Hinweis auf verfuegbaren Angriffscode: proof-of-concept, weaponized+10
- 1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- 1 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2021-24092
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Microsoft Defender's Own Driver Can Be Weaponized to Delete Security Software at Boot
Sicherheitsforscher haben eine Methode entdeckt, bei der Microsoft Defenders eigener, signierter Treiber BTR.sys missbraucht werden kann. Dieser ermöglicht es Angreifern, beliebige Kernel-Operationen durchzuführen und Sicherheitssoftware zu löschen. Betroffen sind Windows-Systeme von Version 7 bis 11 25H2. Nutzern wird empfohlen, ihre Systeme zu aktualisieren und auf ungewöhnliche Aktivitäten zu achten.
SecBoard-Einordnung
Diese Methode erlaubt Angreifern, Sicherheitssoftware zu deaktivieren, was die Erkennung und Abwehr weiterer Angriffe erheblich erschwert. Da ein legitimer, signierter Treiber missbraucht wird, können herkömmliche Erkennungsmethoden umgangen werden.
Realistisch schlimmster Fall: Ein Angreifer könnte nach initialem Zugriff die vorhandene Sicherheitssoftware vollständig deaktivieren, um persistente Malware zu installieren oder Daten unentdeckt zu exfiltrieren, was zu einem vollständigen Systemkompromiss führen könnte.
Empfehlung: Systeme auf die neuesten Patches aktualisieren und auf ungewöhnliche Aktivitäten achten. Zusätzliche Endpoint Protection in Betracht ziehen, um diese neuartige Bedrohung zu mindern.
Key Facts
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Windows-Systeme von Version 7 bis 11 25H2.
Prüfen
3- ▸Überprüfen Sie, ob alle Windows-Systeme auf die neuesten verfügbaren Patches aktualisiert sind.
- ▸Implementieren Sie erweiterte Endpoint Detection and Response (EDR)-Lösungen, die ungewöhnliche Treiberaktivitäten oder Manipulationen an Sicherheitssoftware erkennen können.
▸ 1 weitere▾ weniger
- ▸Überwachen Sie Systemprotokolle auf unerwartete Deinstallationen oder Deaktivierungen von Sicherheitssoftware, insbesondere während des Bootvorgangs.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, wie der Angreifer den initialen Zugriff auf das System erlangt, um den Treiber zu missbrauchen.
- ▸Es wird nicht detailliert beschrieben, welche spezifischen 'beliebigen Kernel-Operationen' neben dem Löschen von Sicherheitssoftware durchgeführt werden können.
- ▸Es werden keine spezifischen IOCs (Indicators of Compromise) oder Tools genannt, die bei der Ausnutzung dieser Technik verwendet werden könnten.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Dieser ermöglicht es Angreifern, beliebige Kernel-Operationen durchzuführen“
„Dieser ermöglicht es Angreifern, beliebige Kernel-Operationen durchzuführen und Sicherheitssoftware zu löschen.“
„not specified in the article“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile
Akteursprofile