DoubleAgent: securitysoftware kan pc’s kapen via verborgen Windows-functie

Een securitystart-up weet een ongedocumenteerde Windows-functie te misbruiken om via securitysoftware pc’s te kapen. Windows XP tot en met 10 zijn kwetsbaar, en securitypakketten van grote namen zijn vatbaar.

Het jonge Israëlische bedrijf Cybellum heeft een verborgen functie in Windows aangewend om eigen kwaadaardige code te injecteren in software. Hierdoor lift een kwaadaardig DLL-bestand mee met legitieme programmatuur, wat zelfs securitysoftware kan zijn. Deze infectiemethode kan zo securitymaatregelen omzeilen en doordat het vroeg in het Windows-bootproces gebeurt kan het ook reboots overleven.

Goed en slecht doel

De zogeheten DoubleAgent-aanvalstechniek van Cybellum maakt dankbaar gebruik van een ongedocumenteerde mogelijkheid in een Windows-functie die is bedoeld voor applicatiemakers. Zij kunnen met de Application Verifier van Microsoft hun eigen code controleren op fouten. Deze nuttige functie voor developers valt echter ook te misbruiken om andermans programma’s en processen te voorzien van andere code, zoals bijvoorbeeld backdoors of ransomware.

De Application Verifier is al vijftien jaar oud en zit dus in Windows-versies van XP tot en met het huidige Windows 10. De DoubleAgent-aanval vindt plaats door een malafide DLL te injecteren in plaats van Microsofts code-controlerende DLL. Hiervoor zijn wel admin-rechten nodig, dus een slachtoffer moet als beheerder zijn ingelogd óf moet deze diepgaande rechten toekennen aan een applicatie, die dan de code-injectie uitvoert.

Alle Windows-versies

De Israëlische start-up stelt dat alle soorten applicaties en softwareprocessen op Windows zijn te pakken via deze kwetsbaarheid. Het meest ironische en ook wel diepgaande is dat securitysoftware valt te corrumperen, om dan daarlangs pc’s te kapen. Beveiligingspakketten zijn over te nemen waarbij de code-injectie door de Application Verifier ook de eventuele zelfbescherming van de securitysoftware geheel passeert. Overigens biedt Microsoft sinds Windows 8.1 een methode waarmee securitysoftware zichzelf beter kan beschermen, maar dit Protected Processes blijkt in de praktijk nauwelijks gebruikt.

Cybellum zegt zijn aanval te hebben getest op pakketten van grote, bekende leveranciers als Avast, AVG, Avira, Bitdefender, Comodo, ESET, F-Secure, Kaspersky, Malwarebytes, McAfee, Norton, Panda, Quick Heal en Trend Micro. Al deze leveranciers zijn 90 dagen geleden ingelicht door Cybellum, die sommigen ook actief heeft geholpen om patches te ontwikkelen. In ieder geval AVG en Malwarebytes hebben patches uitgebracht en Trend Micro komt er snel mee, meldt Cybellum aan BleepingComputer. De securityfirma heeft de broncode voor zijn DoubleAgent-aanvalstool vrijgegeven op developerssite GitHub.

Cybellum demonstreert zijn kaping via securitypakket Avira:

Deel dit artikel
Voeg toe aan favorieten