Geen patch voor de Windows Kernel-bug waarmee malware antivirusdetectie kan vermijden

Microsoft zal geen beveiligingsupdate uitbrengen ondanks het feit dat een onderzoeksbureau voor cyberbeveiliging beweert dat het een bug heeft ontdekt in de PsSetLoadImageNotifyRoutine API dat kwaadaardige malware-ontwikkelaars zou kunnen gebruiken om detectie te ontwijken door: anti-malwaresoftware van derden. Het softwarebedrijf gelooft niet dat de genoemde bug een veiligheidsrisico met zich meebrengt.

Een beveiligingsonderzoeker bij enSilo, Omri Misgav, ontdekte een 'programmeerfout' in de low-level interface PsSetLoadImageNotifyRoutine die door hackers kan worden misleid om toe te staan kwaadaardige software om zonder detectie voorbij antivirussen van derden te glippen.

Als het correct werkt, wordt verondersteld dat de API stuurprogramma's op de hoogte stelt, inclusief die worden gebruikt door anti-malwaresoftware van derden, wanneer een softwaremodule in het geheugen wordt geladen. Antivirussen kunnen dan het adres van de API gebruiken om modules te volgen en te scannen voordat ze worden geladen. Misgav en zijn team ontdekten dat PsSetLoadImageNotifyRoutine niet altijd het juiste adres retourneert.

Het gevolg? Slimme hackers kunnen de maas in de wet gebruiken om anti-malwaresoftware op het verkeerde been te zetten en toestaan kwaadaardige software lopen zonder detectie. Microsoft zegt dat zijn technici de door enSilo verstrekte informatie hebben bekeken en hebben vastgesteld dat de vermeende bug geen veiligheidsrisico vormt.

enSilo heeft zelf geen antivirus van derden getest om zijn angsten te bewijzen, hoewel het beweert dat er geen geniale hacker voor nodig is om dit te misbruiken bug in de Windows-kernel. Het is onduidelijk of Microsoft een patch zal uitbrengen om de bug in toekomstige updates op te lossen of dat ze altijd al op de hoogte zijn geweest van de bug en andere veiligheidsmaatregelen hebben getroffen om de dreiging te stoppen.

De API zelf is niet nieuw voor het Windows-besturingssysteem. Het werd voor het eerst in het besturingssysteem geschreven in de build van 2000 en werd behouden voor alle volgende versies, inclusief de huidige Windows 10. Dat lijkt te lang voor een Windows OS-fout om onbenut te blijven door malwareontwikkelaars.

Misschien is er nog geen geweest inbreuk op de beveiliging door deze Windows-kernelbug omdat hackers het nog niet hadden ontdekt. Nou, nu weten ze het. En aangezien Microsoft niets aan de bug gaat doen, valt nog te bezien wat de altijd ondernemende hackergemeenschap van deze kans zal maken. Misschien zal dat ons vertellen of Microsoft gelijk heeft dat deze bug geen probleem vormt bedreiging van de veiligheid.

GERELATEERDE ARTIKELEN DIE U MOET BEKIJKEN

• Patch dinsdag september 2017: Download de nieuwste Windows-updates
• Update KB3177358 voor Windows 10 verhelpt acht beveiligingsfouten in Microsoft Edge
• Oplossing: "Kernelmodusuitzondering niet afgehandeld M" op Windows 10