Hacker können die Bind-Link-Funktion in Windows zum Erstellen virtueller Pfade in Datensystemen missbrauchen. Auf diese Weise sehen EDR-Lösungen den Schadcode im Container nicht, der sich hinter dem Pfad zu einer angeblich vertrauenswürdigen Datei versteckt. Experten haben drei neue Angriffstechniken entdeckt.
Legitime Tools und Dienste bieten Hackern eine effektive Möglichkeit, ihre Living-off-the-Land (LOTL)- oder Living-off the-Services (LOTS)-Angriffe zu verbergen. Mit der Tarnkappe einer legitimen Funktion – wie auch eines Dienstes oder Tools – unterlaufen solche Angriffe die Erkennung von Endpoint Detection and Response (EDR) oder anderer Analysetools. Weitere Beispiele für ein solches Mimikri haben die Experten der Bitdefender Labs nun dokumentiert.
Perfide Täuschung von EDR-Sensoren
Hacker können Bind Links, das legitime Tool zur Virtualisierung von Windows-Dateisystemen, missbrauchen, um so die Erkennungsmechanismen der EDR-Sensoren oder auch von Windows-Bordmitteln zur Abwehr einschließlich AMSI, Applocker und die Windows-Firewall zu umgehen. Dafür müssen sie nicht eine einzige Datei in einem Laufwerk ändern.
Die Experten von Bitdefender haben drei neue Angriffstechniken dokumentiert: File-Binding, Process-Binding und Silo-Binding. Hacker nutzen legitime Bind Links, wie sie Windows-Container, Store-Apps oder die Windows Sandbox als virtuelle Datenpfade verwenden, für ihre Zwecke. Mit Administrator-Zugriff können die Hacker die Ansicht eines Dateisystems beim Silo-Binding zweiteilen: Während EDR, die AppLocker-Richtlinien oder forensische Tools nur eine saubere, vertrauenswürdige Datei erkennen, finden die Cyberkriminellen hier den Platz für ihren bösartigen Code und führen diesen im isolierten Container aus.
Getarnter Systemprozess in Windows stiehl Zugangsdaten
🔎 File-Binding in Aktion: PowerShell lädt wie gewohnt die Datei „amsi.dll“, doch der Bind-Link übergibt ihr die DLL des Angreifers. Jeder Scan liefert ein „sauberes“ Ergebnis statt bösartiger Skripte (Bild: Bitdefender).
In einer Konstellation ermöglicht das Tool Invoke-Mimikatz den Diebstahl von Zugangsdaten – getarnt als Systemprozess in Windows. So bleibt es nach einem Live-EDR-Scan unentdeckt, weil es als der vertrauenswürdiger Windows-System-Prozess für Updates tiworker.exe gemapped wird.
Die dokumentierten Techniken hebeln die Abwehrmechanismen der Antimalware Scan Interface (AMSI), User-Mode-Sensoren von EDR-Lösungen, den AppLocker, Windows-Firewall-Regeln sowie den Sysmon-Systemdienst und Gerätetreiber zum Überwachen und Protokollieren von Systemaktivitäten im Windows-Ereignisprotokoll von Windows (auch in den in Windows 11 oder Windows Server 2025 integrierten Versionen) aus. Gefährdet sind auch Windows 10-RS4+- und Windows-11-Systeme, sobald ein Angreifer über Administratorrechte verfügt. Ebenso betroffen sind Antivirus- und EDR-Lösungen, die Image-File-Pfaden nach einer Standard-Prozessbenachrichtigungsroutine vertrauen.
Microsoft selbst stufte im Anschluss an die Information durch Bitdefender diese Risiken als „Low Severity“ ein, weil für den Missbrauch Administrator-Rechte nötig seien. Bitdefender-Experten warnen vor der Einfachheit des Zugriffs durch Bring-Your-Own-Virtual-Driver (BYOVD)-Techniken. Die Experten bieten eine ausführliche Analyse online als Blogartikel.
Mehr bei Bitdefender.com
Über Bitdefender Bitdefender ist ein weltweit führender Anbieter von Cybersicherheitslösungen und Antivirensoftware und schützt über 500 Millionen Systeme in mehr als 150 Ländern. Seit der Gründung im Jahr 2001 sorgen Innovationen des Unternehmens regelmäßig für ausgezeichnete Sicherheitsprodukte und intelligenten Schutz für Geräte, Netzwerke und Cloud-Dienste von Privatkunden und Unternehmen. Als Zulieferer erster Wahl befindet sich Bitdefender-Technologie in 38 Prozent der weltweit eingesetzten Sicherheitslösungen und genießt Vertrauen und Anerkennung bei Branchenexperten, Herstellern und Kunden gleichermaßen. www.bitdefender.de