Microsoft Windows Defender: Scan auf UEFI-Veränderungen im Kampf gegen Rootkits

Seit Windows 8 ist der Defender von Microsoft zu einem vollwertigen Anti-Virenprogramm geworden, das die Nutzer vor Viren und anderen Schädlingen warnt. Mittlerweile schneidet der Windows Defender auch in diversen Tests mit der etablierten Konkurrenz gut ab und bietet einen guten Schutz. Nun hat Microsoft eine neue Funktion für die inzwischen Microsoft Defender genannte Schutzsoftware vorgestellt. Ab sofort kann die in Windows 10 verbaute Software auch auf Veränderungen im UEFI scannen, zumindest in der nur für Firmenkunden verfügbaren Cloud-Version namens Advanced Threat Protection. So soll es den PC möglichst vor Rootkits schützen.

Microsoft Defender ATP soll Angriffe mit manipulierter Firmware erschweren

Der Scan der Firmware soll - laut Hersteller - immer dann automatisch erfolgen, wenn es verdächtige Ereignisse, wie die Installation einer neuen Firmware gibt. Die Überprüfung soll neben der Laufzeit auch in periodischen Zyklen stattfinden. Die neue Technik ermöglicht es, das Dateisystem der Firmware zu analysieren und Sicherheitsabwägungen umzusetzen. Bei manipulierten UEFI-Treibern könnte es schlimmstenfalls dazu kommen, dass über angegriffene Firmware die Kontrolle des Rechners an einen Fremden übergeht. Microsoft greift dabei auch auf die Erfahrungen mit den Chipherstellern AMD, Intel und Qualcomm zurück, mit denen man die Initiative Secured-Core-PCs umsetzt. Schließlich kann auf die analysierte Firmware, aus technischer Sicht nicht vom Hauptspeicher aus zugegriffen werden, sodass Microsoft hier auf die Schnittstellen der Hardwarepartner vertrauen muss.

Firmenkunden können Secured-Core-PCs kaufen mit spezieller DRTM-Funktion als Schutz vor Rootkit-Angriffen

Secured-Core-PCs kombinieren verschiedene Maßnahmen, um sich gegen Angriffe zu wehren. Mit Hardwarefunktionen von AMD, Intel und Qualcomm implementiert Windows 10 die Funktion namens "System Guard Secure Launch" als Anforderung an einen Secured-Core-PC, um den Boot-Prozess vor Firmware-Angriffen zu schützen. System Guard verwendet die "Dynamic Root of Trust for Measurement (DRTM)"-Fähigkeiten, die in das Silizium von AMD, Intel und Qualcomm integriert sind. Prozessoren, die dies implementiert haben, sind AMD Ryzen Pro ab 3000, Intel-CPUs aus der Whiskey-Lake-Familie (oder neuer) sowie Qualcomms Snapdragon 8cx. Eine Liste mit einigen zertifizierten Secured-Core-PCs ist direkt bei Microsoft zu finden. Entwickelt werden derartige PCs aber vornehmlich für Unternehmenskunden, die Windows 10 Pro oder Enterprise einsetzen. Privatkunden können mit der Nutzung von Secure Boost das Risiko eines Angriffs durch infizierte Bootloader und Rootkits minimieren.

Ebenfalls lesenswert: Secured-Core-Initiative: Microsoft arbeitet gemeinsam mit Prozessorherstellern am sicheren Booten

Fakten zur neuen Funktion des Microsoft Defender ATP:

• Microsoft hat eine neue Funktion für die in Windows 10 integrierte Schutzsoftware Microsoft Defender vorgestellt. Hierbei kann die nur für Firmen-PCs erhältliche Version Microsoft Defender Advanced Threat Protection den PC auf UEFI-Veränderungen scannen.
• Bei manipulierten UEFI-Treibern könnte es schlimmstenfalls dazu kommen, dass über angegriffene Firmware die Kontrolle des Rechners an einen Fremden übergeht.
• Die analysierte Firmware kann nicht vom Hauptspeicher betrachtet werden, sodass Microsoft hier auf die Schnittstellen der Hardwarehersteller AMD, Intel und Qualcomm vertrauen muss.
• Zudem gibt es sogenannte Secured-Core-PCs, die verschiedene Maßnahmen kombinieren, um sich vor Angriffen im Boot-Prozess zu schützen. Entsprechende DRTM-Fähigkeiten sind in das Silizium bei AMD-Prozessoren ab Ryzen Pro 3000, bei Intel-CPUs ab Whiskey Lake und beim Qualcomm Snapdragon 8cx integriert.

Quellen: Microsoft (1), Microsoft (2)

Artikel teilen

Microsoft Windows Defender: Scan auf UEFI-Veränderungen im Kampf gegen Rootkits Die direkt in Windows 10 integrierte Schutzsoftware namens Microsoft Defender kann in der ATP-Version nun auch Firmen-PCs auf UEFI-Veränderungen scannen. So sollen PCs mit Windows 10 Pro oder Enterprise beispielsweise besser vor Rootkits geschützt sein.

Per E-Mail versenden

1