PC Magazin mit Film DVD Rettung per USB (Vorschau)

32
SOFTWARE
SICHERHEIT
Mit Hilfe der Eingabeaufforderung der Systemwiederherstellung
gelingt es problemlos, die Datei cmd.exe
auf dem Windows-System zu manipulieren.
Nach dem Neustart bringt der Klick auf die Bildschirmtastatur nun die Eingabeaufforderung
auf den Bildschirm und erlaubt das Anlegen eines zusätzlichen Nutzers mit Administratorrechten.
Rechner wird kaum Verdacht schöpfen. Das
gilt sowohl für Remote Desktop-Verbindungen
als auch für die Möglichkeit, sich gegenüber
Freigaben zu identifizieren.
Schließlich empfiehlt sich noch ein erneuter
Start mit der Boot-DVD, um die Modifikation
der Online-Tastatur rückgängig zu machen:
Die neue osk.exe sollte gelöscht und die osk2.
exe wieder in osk.exe umbenannt werden. Im
Ernstfall wird der Angreifer zudem einen anderen
Name nals meanguy wählen und beispielsweise
eine verschleiernde Bezeichnung
wie nvidiaUpdate oder MSWSUSplus nutzen.
XP sicher
Interessanterweise ist die hier beschriebene
Sicherheitslücke unter Windows XP/2003
nicht nutzbar. Wir testeten den OSK-Hack
auch unter Windows 8 in der Developer Preview.
Dort hatten wir ebenso wie bei Windows
Vista Erfolg. Ob sich diese Lücke auch
in der späteren Retail-Variante von Windows
8 nutzen lassen wird, kann derzeit niemand
abschätzen.
Wir haben den Angriff probeweise auch in einer
Active-Directory-Domäne ausprobiert, in
der typischerweise Workstations und Server
im professionellen Umfeld organisiert sind.
Zwar konnte der Angreifer in diesem Szenario
den administrativen Zugriff auf das lokale
System erlangen, es war ihm jedoch nicht
möglich, Nutzerkonten im AD anzulegen. Die
Domänen-Controller, die als Server in einem
Active Directory für die Berechtigungsstruktur
verantwortlich sind, besitzen keine lokalen
Benutzer mehr.
Der „OSK-Hack“ ist folglich auf einem Domänencontroller
auch dann nicht anwendbar,
wenn der Angreifer physikalischen Zugriff auf
den Server erlangt hat.
whs/tr
Den Angriff verhindern
Antivirus- und Antimalware-Programme
bieten keinen Schutz. Der zusätzliche
Administrator hinterlässt dennoch eine
deutliche Spur – seinen Benutzer-Account.
Tools wie Microsoft Baseline Security Analyzer
prüfen auch in Unternehmensnetzwerken,
wie viele lokale Administratoren
auf einem PC zu finden sind, und schlagen
gegebenenfalls Alarm. Zwar kann das
Benutzerkonto wie erläutert auf dem Anmeldebildschirm
ausgeblendet werden,
im Benutzerprofil-Verzeichnis wird in jedem
Fall von Windows ein neuer %HOME-
PATH% eingerichtet. Wer all diese regelmäßig
durchzuführenden Detailprüfungen
Auch die Bitlocker-
Software, die unter
den Windows-7-
Versionen Ultimate
und Enterprise zum
System gehört, kann
wirkungsvoll den
Zugriff über die OSK-
Lücke auf das System
verhindern.
scheut und lieber auf Nummer sicher gehen
will, dem bleibt die Verschlüsselung
der Festplatte als probates Schutzmittel.
Wir haben auch diesen Fall durchgespielt
und die Windows-Partition eines Windows-7-Ultimate-Systems
auf einem Notebook
zunächst mit Hilfe von TrueCrypt
komplett verschlüsselt. Wird dieses System
dann von der Betriebssystem-DVD aus
gestartet, so erkennt das System zwar
eine Windows-Installation auf der Festplatte
– aber zeigt seine Größe bereits mit
0 MByte an. Lässt sich ein Angreifer davon
nicht schrecken, so wird er spätestens
im nächsten Schritt komplett ausgebremst:
Die Systemwiederherstellung findet
kein Dateisystem auf der Platte, eine
Manipulation ist unmöglich.
Kommt ein Windows 7 oder Vista in der
Version Ultimate oder Enterprise zum
Einsatz, so kann ein Anwender natürlich
auch die integrierte Festplattenverschlüsselung
Bitlocker verwenden, um sein System
vor dieser Art von Angriffen zu schützen.
Auch diese Möglichkeit haben wir
auf einem Testsystem durchgespielt: Der
Vorteil beim Einsatz von Bitlocker besteht
darin, dass die Windows-Systemwiederherstellung
sofort erkennt, dass es sich
hier um eine durch Bitlocker geschützte
Festplatte handelt. Aber genau wie bei
der Verschlüsselung mit TrueCrypt werden
auch hier nur 0 MByte angezeigt und
die Eingabeaufforderung findet kein Dateisystem,
mit dem sie arbeiten könnte.
Wer bis jetzt noch keinen Grund gefunden
hat, warum er die Festplatten mobiler
Windows-Systeme mit einer Festplattenverschlüsselung
schützen sollte, der findet
hier eine eindrucksvolle Bestätigung
dafür, dass solche Lösungen auch vor raffinierten
Angriffen wirkungsvoll schützen.
PC Magazin 4/2012 www.pc-magazin.de