Malware verwendet Windows-Systemfunktion gegen Sicherheitssoftware
Trend Micro entdeckte, dass der Banktrojaner BKDR_VAWTRAK eine Funktion der in Windows enthaltenen Software Restriction Policies verwendet, um insgesamt 53 Security-Lösungen auf eine Blacklist zu setzen. Dafür schreibt er direkt in die Registry.
Die in Japan aktive Banking-Malware BKDR_VAWTRAK nutzt Forschern von Trend Micro zufolge einen neuen Trick. Demnach verwendet sie die Windows Software Restriction Policies (SRP), also eine Systemfunktion, um Antiviren- und Sicherheitssoftware auf eine Blacklist zu setzen und somit die Rechte einzuschränken. Davon ist ebenfalls eine Lösung von Trend Micro betroffen.
Microsoft hatte SRP mit Windows XP und Windows Server 2003 eingeführt. Es lässt sich über Gruppenrichtlinien verwalten. Damit können Administratoren schwarze und weiße Listen von bestimmten ausführbaren Programmen erstellen oder sie auf eine Ausführung nur mit Standardrechten beschränken.
Über den Editor für lokale Richtlinien können Nutzer SRP in jeder Version aufrufen. Die Änderungen finden in Registry-Einträgen statt, die sich auch auf direktem Weg erstellen lassen. Trend Micro zufolge nutzt die Malware dieses Verfahren aus.
Beim Ausführen solcher gesperrter Anwendungen, erhalten Nutzer lediglich einen Sperrhinweis. Darunter steht, er solle sich an seinen Administrator wende.
Die Schadsoftware muss selbst über erhöhte Privilegien verfügen, um die Registry verändern zu können. Zudem muss sie die parallel laufende Sicherheitssoftware umgehen, bevor sie einen Blockadeversuch starten kann. Die Malware könnte durch ein Update der Sicherheitssoftware entdeckt werden, wenn diese nicht mehr blockiert sein sollte.
SRP kam bereits bei anderen Malware-Attacken zum Einsatz. Die Bedrohung durch VAWTRAK stuft Trend Micro als besonders groß ein. Dem Sicherheitsanbieter zufolge sucht die Schadsoftware nach 53 Security-Lösungen auf infizierten System, um deren Ausführung zu stoppen.
2002 bezeichnete Microsoft SRP als Mittel “im Kampf gegen Viren”. Als Vorteile sah es auch die Möglichkeit, Downloads von ActiveX-Controls auf einzelne einzuschränken, nur signierte Skripte auszuführen, die Ausführung von Software auf genehmigte Programme zu beschränken und Maschinen komplett zu sperren.
[mit Material von Florian Kalenda, ZDNet.de]
Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
