מחקר Check Point: ניתן לנצל דרייבר חתום של Microsoft Defender למחיקת תוכנות אבטחה

חוקר מ-Check Point Research הראה כיצד אפשר לנצל דרייבר רשמי וחתום כחוק של Microsoft Defender כדי לבצע מחיקה וכתיבה שרירותיות של קבצים ורישום ברמת הקרנל, ולנטרל בכך תוכנות אבטחה מתחרות בזמן האתחול. מדובר לא בפגיעות תוכנה במובן הרגיל, אלא בניצול לרעה של יכולת לגיטימית של הדרייבר עצמו — ולכן מיקרוסופט מסרבת להכיר בכך כבאג שדורש תיקון.

מה קרה

הדרייבר BTR.sys מיועד להסיר רכיבי נוזקה ש"נעולים" בזמן ריצת המערכת, על ידי ביצוע פעולות קובץ ורישום בזמן האתחול — לפני שרוב שירותי ההגנה עולים. החוקר גילה שהתצורה שהדרייבר קורא מוצפנת במפתח קבוע שזהה בכל הגרסאות מאז Windows 7, וכי תוקף עם הרשאות מנהל יכול לנצל זאת כדי להטעין את הדרייבר באופן עצמאי ולהורות לו לבצע מחיקת קבצים, מחיקת מפתחות רישום ופעולות נוספות ברמת הקרנל — כולל נטרול של תוכנות אבטחה אחרות המותקנות באותה מערכת.

ההבדל המרכזי בין הטכניקה הזו לבין מתקפות "Bring Your Own Vulnerable Driver" הרגילות הוא שכאן לא מדובר בדרייבר צד-שלישי פגיע שאפשר לחסום ברשימת הדרייברים האסורים של מיקרוסופט. BTR.sys הוא רכיב חובה של Defender עצמו, כך שחסימתו תשבש את פעולת ההגנה הרגילה. הממצאים הוצגו בכנס Black Hat USA ו-DEF CON 34 ב-20 באוגוסט, יחד עם כלי בדיקה בשם BTR_CLI.

נקודות לשים לב

• הטכניקה דורשת הרשאות מנהל והרשאת SeLoadDriverPrivilege קיימות מראש — היא לא מספקת לתוקף גישה ראשונית, אלא כלי להסלמה ולנטרול הגנות אחרי שכבר יש דריסת רגל. הקשיחו את הרשאת ה-SeLoadDriverPrivilege ואל תשאירו אותה זמינה למשתמשים שלא חייבים אותה.
• אל תסתמכו על רשימת הדרייברים הפגיעים של מיקרוסופט כמנגנון הגנה יחיד — היא לא נועדה, ולא יכולה, לחסום כלי לגיטימי שהוא חלק מהמוצר עצמו.
• לצוותי SOC: כדאי להוסיף כללי זיהוי ל-EDR/Sysmon על יצירת זרם נתונים חלופי (ADS) בשם :changelist על קבצי דרייבר, ועל מחיקת קבצי אבטחה על ידי תהליך System מיד לאחר טעינת דרייבר.
• מכיוון שמיקרוסופט לא צפויה לתקן זאת כפגיעות קלאסית, ההגנה האפקטיבית היא בקרת הרשאות וניטור התנהגותי — לא עדכון תוכנה שממתינים לו.

מקורות: Check Point Research · The Hacker News