Neue Lücke in Microsofts Malware Protection Engine

In der Malware Protection Engine behebt Microsoft einen weiteren kritischen Fehler. Einem Angreifer ist es über das Leck möglich, Schadcode auf dem betroffenen System einzuschleusen. Dafür musste, wie Googles Sicherheitsteam Project Zero meldet Angreifer eine speziell gestaltete Datei mit dem Emulator der Malware Protection Engine überprüfen lassen.

Microsofts Malware Protection Engine kommt unter anderem in Windows Defender für Windows 7, Windows 8.1, Windows 10 und Windows Server 2016 zum Einsatz. Daneben wird die auch von Unternehmenslösungen wie Forefront Endpoint Protection, System Center Endpoint Protection oder Intune Endpoint Protection genutzt. Auch diese Lösungen sind demnach von dem Leck betroffen.

Google hatte Microsoft am 12. Mai über die Schwachstelle informiert. Der Anbieter hat darauf hin das Leck in der zurückliegenden Woche ohne große Ankündigung geschlossen.

“Die MsMpEng beinhaltet einen vollwertigen x86-System-Emulator, der benutzt wird, um nicht vertrauenswürdige Dateien auszuführen, die wie Preinstallation Environment Executables aussehen”, führte Tavis Ormandy, Sicherheitsforscher bei Project Zero, dazu aus. “Der Emulator läuft als NTAuthority\System und ist nicht in einer Sandbox.”

Eine der vom Emulator unterstützten Win32-APIs erlaube es emuliertem Code, den Emulator selbst zu kontrollieren. Als Folge werde von einem Angreifer kontrollierter Code ausgeführt. Zudem sei es unter Umständen möglich, die Parameter für die Ausführung von Code zu verändern und Attribute und UFS-Metadaten zu lesen und zu setzen.

“Das war möglicherweise eine extrem gefährliche Anfälligkeit, aber wahrscheinlich nicht so leicht auszunutzen wie die frühere Zero-Day-Lücke, die vor zwei Wochen gepatcht wurde”, zitiert ThreatPost Udi Yavo, Gründer und CTO des Sicherheitsanbieters enSilo. Zudem sei es bemerkenswert, dass die Malware Protection Engine im Gegensatz zu anderen Microsoft-Anwendungen wie Edge nicht in einer Sandbox laufe. “Falls Sie eine Anfälligkeit ausnutzen können, ist das Spiel vorbei.”

Ormandy kritisierte indes nicht nur das Fehlen einer Sandbox, sondern auch die Funktion, die es der Malware Protection Engine erlaubt, APIs aufzurufen. Eigentlich sei die Aufgabe des Emulators, die CPU des Client-Systems nachzubilden. “Es ist nicht klar, warum Microsoft spezielle Befehle für den Emulator ermöglicht. Wenn Sie glauben, das klingt verrückt, dann sind Sie nicht allein”, ergänzte der Sicherheitsforscher.

Betroffene Nutzer der Sicherheitsprodukte von Microsoft müssen nichts unternehmen. Sie erhalten den Patch automatisch zusammen mit neuen Definitionen.

Anfang Mai hatte Microsoft bereits eine von Project Zero gemeldete kritische Schwachstelle in der Malware Protection Engine beseitigt. Ormandy bezeichnete die Lücke als “crazy bad”, weil es ausreichend war, dem Zielobjekt eine E-Mail zu schicken. Es war jedoch nicht nötig, die E-Mail zu lesen oder einen Anhang zu öffnen, um Schadcode aus der Ferne einzuschleusen und auszuführen.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.