Angreifer könnten einen Defender-Treiber missbrauchen bei erlangten Adminrechten

Sicherheitsforscher von Check Point haben eine missbrauchbare Funktion im Microsoft-Defender-Treiber BTR.sys entdeckt. Der Treiber wird normalerweise von Microsoft Defender genutzt, um beim Neustart gesperrte oder schädliche Dateien sowie Registry-Einträge zu entfernen.

Die Forscher konnten jedoch zeigen, dass Angreifer den Treiber ebenfalls für eigene Zwecke nutzen könnten. Voraussetzung dafür sind allerdings bereits vorhandene Administratorrechte auf dem betroffenen System. So könnte BTR.sys beispielsweise dazu missbraucht werden, Sicherheitssoftware, Dateien oder Registry-Einträge zu entfernen und damit weitere Schutzmaßnahmen zu umgehen.

Eine konkrete CVE-Nummer oder offiziell eingestufte Sicherheitslücke gibt es derzeit nicht. Microsoft wurde über die Ergebnisse informiert, sieht aufgrund der notwendigen Administratorrechte aktuell jedoch keinen dringenden Handlungsbedarf.

Laut Check Point wurde der missbrauchbare Treiber bislang nicht bei realen Angriffen beobachtet. Unternehmen sollten dennoch darauf achten, Administratorrechte konsequent einzuschränken und ungewöhnliche Treiber- oder Systemaktivitäten zu überwachen.