Windows 10-Computersysteme tragen dazu bei, Zero-Day-Exploits zu mindern

Noch bevor ein Entwickler einen Patch zur Behebung der in der App entdeckten Schwachstelle erstellt, veröffentlicht ein Angreifer dafür Malware. Dieses Ereignis heißt als Zero-Day-Exploit. Wann immer die Entwickler eines Unternehmens Software oder eine Anwendung erstellen, besteht die Gefahr darin, dass eine Schwachstelle vorhanden sein könnte. Der Angreifer kann diese Schwachstelle erkennen, bevor der Entwickler sie entdeckt oder die Möglichkeit hat, sie zu beheben.

Der Angreifer kann dann einen Exploit-Code schreiben und implementieren, während die Schwachstelle noch offen und verfügbar ist. Nach der Veröffentlichung des Exploits durch den Angreifer erkennt der Entwickler dies an und erstellt einen Patch, um das Problem zu beheben. Sobald jedoch ein Patch geschrieben und verwendet wird, wird der Exploit nicht mehr als Zero-Day-Exploit bezeichnet.

Zero-Day-Exploit-Minderungen für Windows 10

Microsoft hat es geschafft, Zero-Day-Exploit-Angriffe abzuwehren, indem es mit kämpft Exploit-Minderung und Geschichtete Erkennungstechniks in Windows 10.

Microsoft-Sicherheitsteams haben im Laufe der Jahre extrem hart daran gearbeitet, diese Angriffe zu bekämpfen. Über seine speziellen Tools wie Windows Defender Application Guard, das eine sichere virtualisierte Schicht für den Microsoft Edge-Browser bereitstellt, und Erweiterter Bedrohungsschutz von Windows Defenderein Cloud-basierter Dienst, der Sicherheitsverletzungen mithilfe von Daten von integrierten Windows 10-Sensoren identifiziert, hat es geschafft, das Sicherheitsframework auf der Windows-Plattform zu verschärfen und Exploits von neu entdeckten und sogar nicht offengelegten Schwachstellen zu stoppen.

Microsoft ist der festen Überzeugung, dass Vorbeugen besser als Heilen ist. Als solches wird mehr Wert auf Minderungstechniken und zusätzliche Verteidigungsebenen gelegt, die Cyberangriffe in Schach halten können, während Schwachstellen behoben und Patches bereitgestellt werden. Weil es eine anerkannte Wahrheit ist, dass das Auffinden von Schwachstellen viel Zeit und Mühe kostet und es praktisch unmöglich ist, alle zu finden. Die oben genannten Sicherheitsmaßnahmen können also dazu beitragen, Angriffe auf der Grundlage von Zero-Day-Exploits zu verhindern.

Aktuelle 2 Exploits auf Kernel-Ebene, basierend auf CVE-2016-7255 und CVE-2016-7256 sind ein typischer Fall.

CVE-2016-7255-Exploit: Win32k-Berechtigungserhöhung

Letztes Jahr, die STRONTIUM-Angriffsgruppe startete eine Spear-Phishing-Kampagne, die sich gegen eine kleine Anzahl von Denkfabriken und Nichtregierungsorganisationen in den Vereinigten Staaten richtete. Die Angriffskampagne nutzte zwei Zero-Day-Schwachstellen in Adobe Flash und der untergeordnete Windows-Kernel, um eine bestimmte Gruppe von Kunden anzusprechen. Sie nutzten dann die ‚Typenverwechslung‚ Sicherheitslücke in win32k.sys (CVE-2016-7255), um erhöhte Rechte zu erlangen.

Die Schwachstelle wurde ursprünglich identifiziert von Googles Threat Analysis Group. Es wurde festgestellt, dass Kunden, die Microsoft Edge auf Windows 10 Anniversary Update verwenden, vor Versionen dieses Angriffs, die in freier Wildbahn beobachtet wurden, sicher waren. Um dieser Bedrohung entgegenzuwirken, koordinierte sich Microsoft mit Google und Adobe, um diese böswillige Kampagne zu untersuchen und einen Patch für niedrigere Windows-Versionen zu erstellen. In diesem Sinne wurden Patches für alle Windows-Versionen getestet und entsprechend später als Update öffentlich freigegeben.

Eine gründliche Untersuchung der Interna des spezifischen Exploits für CVE-2016-7255, der vom Angreifer erstellt wurde, ergab, wie die Minderungstechniken von Microsoft Kunden präventiven Schutz vor dem Exploit boten, noch bevor das spezifische Update veröffentlicht wurde, das die Schwachstelle behebt.

Moderne Exploits wie die oben genannten verlassen sich auf Read-Write (RW)-Grundelemente, um Codeausführung zu erreichen oder zusätzliche Privilegien zu erhalten. Auch hier haben sich Angreifer RW-Primitive durch Korrumpieren angeeignet tagWND.strName Kernstruktur. Durch Reverse Engineering seines Codes fand Microsoft heraus, dass der von STRONTIUM im Oktober 2016 verwendete Win32k-Exploit genau dieselbe Methode wiederverwendete. Der Exploit beschädigte nach der anfänglichen Win32k-Schwachstelle die Struktur von tagWND.strName und benutzte SetWindowTextW, um beliebigen Inhalt irgendwo in den Kernelspeicher zu schreiben.

Um die Auswirkungen des Win32k-Exploits und ähnlicher Exploits abzumildern, muss die Windows Offensive Security Research Team (OSR) hat im Windows 10 Anniversary Update Techniken eingeführt, mit denen die missbräuchliche Verwendung von tagWND.strName verhindert werden kann. Die Schadensbegrenzung führte zusätzliche Überprüfungen für die Basis- und Längenfelder durch, um sicherzustellen, dass sie nicht für RW-Grundelemente verwendet werden können.

CVE-2016-7256-Exploit: Erhöhung der Berechtigung für Schriftarten öffnen

Im November 2016 wurden nicht identifizierte Akteure entdeckt, die einen Fehler in der ausnutzten Windows-Schriftbibliothek (CVE-2016-7256), um Privilegien zu erhöhen und die Hankray-Hintertür zu installieren – ein Implantat, um Angriffe in geringem Umfang auf Computer mit älteren Windows-Versionen in Südkorea auszuführen.

Es wurde festgestellt, dass die Schriftbeispiele auf betroffenen Computern speziell mit fest codierten Adressen und Daten manipuliert wurden, um tatsächliche Kernel-Speicherlayouts widerzuspiegeln. Das Ereignis zeigte die Wahrscheinlichkeit an, dass ein sekundäres Tool den Exploit-Code zum Zeitpunkt der Infiltration dynamisch generiert hat.

Die sekundäre ausführbare Datei oder das Skripttool, das nicht wiederhergestellt wurde, führte anscheinend die Aktion aus, den Schriftart-Exploit zu löschen und die hartcodierten Offsets zu berechnen und vorzubereiten, die zum Ausnutzen der Kernel-API und der Kernelstrukturen auf dem Zielsystem erforderlich sind. Durch die Aktualisierung des Systems von Windows 8 auf das Windows 10 Anniversary Update wurde verhindert, dass der Exploit-Code für CVE-2016-7256 anfälligen Code erreichte. Das Update hat es geschafft, nicht nur die spezifischen Exploits, sondern auch ihre Exploit-Methoden zu neutralisieren.

Fazit: Durch mehrstufige Erkennung und Abwehr von Exploits unterbricht Microsoft erfolgreich Exploit-Methoden und schließt ganze Klassen von Schwachstellen. Infolgedessen reduzieren diese Minderungstechniken die Angriffsinstanzen, die für zukünftige Zero-Day-Exploits verfügbar sein könnten, erheblich.

Darüber hinaus können durch die Bereitstellung dieser Minderungstechniken Microsoft hat Angreifer gezwungen, neue Verteidigungsschichten zu umgehen. Zum Beispiel zwingt selbst die einfache taktische Abwehr gegen beliebte RW-Primitive die Exploit-Autoren dazu, mehr Zeit und Ressourcen in die Suche nach neuen Angriffsrouten zu investieren. Außerdem hat das Unternehmen durch die Verlagerung des Font-Parsing-Codes in einen isolierten Container die Wahrscheinlichkeit verringert, dass Font-Bugs als Vektoren für die Eskalation von Berechtigungen verwendet werden.

Abgesehen von den oben genannten Techniken und Lösungen führen die Windows 10 Anniversary Updates viele andere Minderungstechniken in Kernkomponenten von Windows und dem Microsoft Edge-Browser ein und schützen so Systeme vor einer Reihe von Exploits, die als nicht offengelegte Schwachstellen identifiziert wurden.