Die IT-Sicherheitsforscher von Check Point sind bei der Untersuchung eines infizierten Systems auf den Treiber Windows Defender Boot-Time Removal (BTR.sys) gestoßen, der zunächst verdächtiges Verhalten zeigt. Damit soll der Treiber eigentlich beispielsweise Schadcode beim Neustart unschädlich machen. Er lässt sich aber von Angreifern auch zum Kompromittieren des Systems einspannen.
Das erörtert Check Point in einer ausführlichen Analyse. Den Analysten fiel auf, dass ein Treiber unter „System32\drivers“ mit einer zufälligen Zeichenkette als Namen auftaucht und damit im Registry-Zweig „HKLM\SYSTEM\CurrentControlSet\Services\<Zeichenkette>“ verankert. Der Treiber wird kurz vor einem Neustart dort abgelegt, ein Eintrag in der Registry zum Starten eines Dienstes erzeugt, dabei setzt der Treiber zudem auf RC4-Verschlüsselung und Alternative Datenströme (ADS) des NTFS-Dateisystems, wobei Interaktion mit dem Datenstrom „:changelist“ der Treiberdatei erfolgt. Nach der Ausführung entrümpelt der Treiber zudem diese Einträge.
Missbrauchbare Treiberfunktionen
Was wie typisches Malware-Verhalten aussieht, stammt jedoch regulär vom Malwareschutz Microsoft Defender. Der Treiber „BTR.sys“ ist in der Datei „MpEngine.dll“ enthalten und wird mit den zufälligen Namen bei Bedarf auf das Laufwerk verfrachtet. Er wird beim Neustart aufgerufen, um etwa gesperrte oder genutzte Dateien zu entfernen. Check Point listet als Funktionen das Löschen von Dateien, Verzeichnissen oder das Verschieben in Quarantäne-Ordner auf. Das kann der Treiber nicht nur mit Dateien, sondern auch mit Registry-Einträgen erledigen.
