DLL Hijacking Zero-Day-Sicherheitslücke in den Microsoft Sysinternals-Tools

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Ein Ethical Hacker behauptet, eine kritische Schwachstelle in den Sysinternals-Tools von Microsoft gefunden zu haben. Der Hersteller sehe darin jedoch nur ein „Defense-in-Depth-Problem“.

Die Redaktion des Security-Insiders erreichte ein Schreiben von Raik Schneider, selbstständiger Sicherheitsexperte und Ethical Hacker, in dem er behauptet, eine kritische Schwachstelle in nahezu allen Sysinternals-Tools gefunden zu haben.

Responsible Disclosure

Ethical Hacking und seine Grenzen

Was sind Sysinternals-Tools?

Die Sysinternals-Tools sind Freeware-Programme, die Microsoft in einer Suite zusammen­gefasst hat. Sie dienen IT-Admins und Entwicklern für die Überwachung, Verwaltung, Diagnose und Fehlerbehebung in Windows-Systemen. Da die Sysinternals Suite nicht automatisch über die Windows-Update-Funktion aktualisiert wird, sonder manuell über den Microsofts App-Store installiert und aktualisiert wird, stellt sie – wie jedes anderes Programm oder System, welches nicht automatisch ein Update erhält – ein Sicherheitsrisiko dar, wenn Nutzer Updates nicht installieren. So bleiben Sicherheitslücken ungepatcht und die Sysinternals Suite anfällig für Cyberangriffe.

Windows-Computer im Griff und die Sicherheit verifizieren

Virensuche mit dem Microsoft Process Explorer

Fehler beim Laden von DLLs

Nachdem Schneider die Sicherheitslücke am 28. Oktober 2024 an Microsoft gemeldet habe, veröffentlichte der White Hat Hacker, nachdem 90 Tage verstrichen waren, am Disclosure-Tag seinen Bericht über die Zero-Day-Schwachstellen in der Microsoft Sysinternals Suite.

Bei der entdeckten Sicherheitslücke geht es Schneider zufolge darum, wie die Sysinternals-Tools DLL-Dateien (Dynamic Link Library) laden. Viele Anwendungen würden dabei das Current Working Directory (CWD) durchsuchen oder andere definierte Pfade, bevor sie auf vertrauenswürdige Systempfade zugreifen. Dies ermögliche es Angreifern jedoch, schädliche DLL-Dateien im gleichen Verzeichnis wie die ausführbare Datei zu platzieren, die dann unbemerkt geladen würden. Für seine Analyse habe Schneider die Sysinternals-Tools ListDLLs und Process Explorer sowie das Open-Source-Tool System Informer verwendet, welches ähnliche Funktionen zur Systemüberwachung bietet.

Konkret könne ein Cyberangreifer eine schadhafte DLL-Datei zusammen mit einer legitimen Anwendung wie „Bginfo.exe“ auf einem Netzwerkspeicherplatz ablegen. Würde ein Benutzer die Anwendung von diesem Verzeichnis aus starten, würde die schadhafte Dynamic Link Library geladen und der Code des Angreifers innerhalb der Anwendung ausgeführt. Dies könne zu einer vollständigen Kompromittierung des Systems führen.

Microsofts Reaktion

Schneider erhielt auf seine Meldung Antwort von Microsoft. Doch der Hersteller argumentierte, die Schwachstelle sei nur ein „Defense-in-Depth-Problem“, welches somit nicht als kritisch eingestuft wurde, wie Schneider es empfohlen hatte. Microsoft habe sich nur auf das Programmverzeichnis bezogen, Schneider jedoch auch auf Netzlaufwerke, welche in seinem untersuchten Fall zum CWD für die Anwendung wurde. Ein Security Advisory, welches das DLL Planting als Defense-in-Depth-Problem beschreibt, hat Microsoft bereits 2018 veröffentlicht. Damals schrieb der Hersteller, dass ein DLL-Planting-Problem, welches in die Kategorie des CWD-DLL-Plantings falle, als Problem mit der Schwere „Wichtig“ behandelt würde und ein Sicherheitspatch dafür bereitgestellt werde. Schneider zufolge sei die Schwachstelle nach wie vor ausnutzbar.

Schutz vor CWD-DLL-Hijacking

Auf seinem Youtube-Kanal geht der Sicherheitsexperte näher auf die Kommunikation mit Microsoft und das bestehende Sicherheitsrisiko ein. Außerdem stellt er in seinem Blog-Beitrag Maßnahmen zur Absicherung bereit, die Administratoren und Benutzer ergreifen können:

• Tools nicht direkt von Netzwerkspeichern ausführen. Stattdessen sollten Nutzer die ausführbaren Dateien auf einen lokalen Pfad kopieren.

• Schneider empfiehlt, Sicherheitslösungen zu verwenden, die sicherstellen, dass nur vertrauenswürdige DLLs geladen werden.

• Außerdem sollten Sie Ihre Umgebung auf betroffene Tools überprüfen. Dafür stellt Schneider ein Test-Sheet bereit, mit dem Nutzer anfällige Anwendungen identifizieren können.

Neue Gefahren für Windows-Systeme

Wie Hacker DLL-Sideloading für ihre Zwecke kapern

(ID:50303410)