Windows-Treiber gehören zu den mächtigsten Komponenten eines Windows-Systems. Viele Treiber arbeiten direkt im Kernel und besitzen dadurch deutlich mehr Berechtigungen als gewöhnliche Anwendungen.
Genau diese weitreichenden Systemrechte machen verwundbare oder unsicher implementierte Treiber auch für Angreifer interessant.
Mit DriverRiskScout haben wir bei Systemhaus Schulz ein eigenes defensives Werkzeug entwickelt, das Windows-Systeme auf bekannte verwundbare, auffällige und potenziell missbrauchbare Kernel-Treiber untersucht.
Dabei verfolgt DriverRiskScout bewusst einen Read-only-Ansatz: Das Werkzeug versucht nicht, gefundene Schwachstellen auszunutzen oder aktiv mit potenziell verwundbaren Treibern zu interagieren.
Warum können Windows-Treiber ein Sicherheitsrisiko darstellen?
Kernel-Treiber benötigen häufig Zugriff auf besonders geschützte Bereiche des Betriebssystems. Sie können beispielsweise Hardware steuern, auf Speicherbereiche zugreifen oder privilegierte Funktionen innerhalb von Windows bereitstellen.
Problematisch wird es, wenn ein eigentlich legitimer und digital signierter Treiber eine bekannte Sicherheitslücke besitzt.
Angreifer können versuchen, solche Treiber gezielt zu missbrauchen. Dieses Vorgehen wird häufig als BYOVD – Bring Your Own Vulnerable Driver bezeichnet.
Dabei wird ein verwundbarer Treiber verwendet, um Funktionen zu erhalten, die einem normalen Benutzerprozess eigentlich nicht zur Verfügung stehen sollten.
Mögliche Auswirkungen können unter anderem sein:
- Manipulation besonders geschützter Prozesse
- Umgehung von Sicherheitsmechanismen
- Beeinträchtigung von Antivirus- oder EDR-Lösungen
- Zugriff auf Kernel-Speicher
- Rechteausweitung innerhalb eines Windows-Systems
- Vorbereitung weiterer Angriffe
Für Administratoren ergibt sich daraus eine wichtige Frage:
Welche Treiber befinden sich auf meinen Windows-Systemen – und sind darunter bereits bekannte Sicherheitsrisiken?
Genau hier setzt DriverRiskScout an
DriverRiskScout führt eine umfangreiche Bestandsaufnahme vorhandener Windows-Treiber durch und gleicht die gefundenen Dateien mit verschiedenen Sicherheits- und Threat-Intelligence-Quellen ab.
Zu den Funktionen gehören unter anderem:
- Inventarisierung vorhandener Windows-Treiber
- SHA256-basierte Identifikation von Treiberdateien
- Erkennung bekannter verwundbarer Treiber
- Abgleich mit dem LOLDrivers-Projekt
- Abgleich mit der Microsoft Vulnerable Driver Blocklist
- zusätzliche BYOVD-Erkennungsprofile
- Analyse des Windows DriverStore
- Erkennung potenziell veralteter Treiberpakete
- Baseline-Vergleich zwischen unterschiedlichen Scans
- Bewertung und Priorisierung erkannter Auffälligkeiten
- Erstellung eines HTML-Sicherheitsreports
- NDJSON-Ausgabe für Wazuh und andere SIEM-Systeme
Bewusst ohne aktive Exploitation
Bei der Entwicklung von DriverRiskScout war uns besonders wichtig, dass das Werkzeug auch für defensive Sicherheitsüberprüfungen von produktiven Windows-Systemen eingesetzt werden kann.
DriverRiskScout versucht daher ausdrücklich nicht, gefundene Treiberschwachstellen aktiv auszunutzen.
DriverRiskScout:
- sendet keine IOCTL-Anfragen an Treiber
- führt keine Treiber-Exploits aus
- lädt keine verwundbaren Treiber
- entlädt keine Kernel-Treiber
- beendet keine Prozesse
- deaktiviert keine Antivirus- oder EDR-Produkte
- verändert keine Windows-Sicherheitsmechanismen
- führt keine Rechteausweitung durch
Der Ansatz lautet:
Zuerst feststellen, welche potenziell problematischen Treiber vorhanden sind – anschließend die Findings technisch bewerten.
LOLDrivers als Threat-Intelligence-Quelle
Eine reine Liste vorhandener Treiber würde für eine Sicherheitsanalyse nur einen begrenzten Mehrwert bieten.
DriverRiskScout verwendet deshalb unter anderem Informationen aus dem LOLDrivers-Projekt.
LOLDrivers dokumentiert legitime und häufig digital signierte Windows-Treiber, bei denen bekannte Schwachstellen existieren oder deren Missbrauch bereits im Zusammenhang mit realen Angriffen beobachtet wurde.
DriverRiskScout kann gefundene Treiber anhand ihrer Hashwerte und weiterer Merkmale mit diesen Informationen vergleichen.
Microsoft Vulnerable Driver Blocklist
Zusätzlich kann DriverRiskScout Informationen aus der Microsoft Vulnerable Driver Blocklist berücksichtigen.
Die Kombination aus Microsoft-Daten, Community-Threat-Intelligence und zusätzlichen Erkennungsprofilen erhöht die Aussagekraft gegenüber einer einfachen Treiberinventarisierung erheblich.
Ein Blick in einen realen DriverRiskScout-Scan
Bei einem Testlauf auf einem Windows-System wurden beispielsweise mehr als 900 Treiberdateien analysiert.
=== DriverRiskScout 1.1.5 ===
Read-only assessment. No IOCTLs, exploitation, process termination,
driver loading or security-control changes are performed.
PowerShell runtime: 7.6.4
=== Threat intelligence ===
LOLDrivers entries loaded: 660
Microsoft blocklist source: Local Windows example policy
Exact hashes: 822
Bundled/custom BYOVD detection profiles: 5
=== Summary ===
Files inventoried: 909
Known findings: 1
Suspicious: 0
Critical/High: 0
Threat profiles: 0 match(es)
Stale DriverStore: 19
Baseline changes: 0Ein Administrator erhält damit innerhalb kurzer Zeit einen Überblick über den vorhandenen Treiberbestand und mögliche sicherheitsrelevante Auffälligkeiten.
Ein Fund bedeutet jedoch nicht automatisch, dass ein System kompromittiert wurde oder die erkannte Schwachstelle tatsächlich ausnutzbar ist.
DriverRiskScout liefert zunächst einen Hinweis, der anschließend technisch bewertet werden sollte.
Analyse des Windows DriverStore
Ein weiterer Bestandteil von DriverRiskScout ist die Analyse des Windows DriverStore.
Windows speichert dort Treiberpakete, die aktuell verwendet werden oder in der Vergangenheit für Hardware und andere Systemkomponenten installiert wurden.
Gerade auf über viele Jahre gewachsenen Windows-Systemen können dort ältere oder nicht mehr benötigte Treiberpakete verbleiben.
DriverRiskScout kann solche potenziell veralteten DriverStore-Einträge sichtbar machen.
Wichtig: Ein alter oder nicht mehr aktiv verwendeter DriverStore-Eintrag stellt nicht automatisch eine Sicherheitslücke dar und sollte niemals ungeprüft entfernt werden.
Baseline-Vergleich von Windows-Treibern
DriverRiskScout kann zusätzlich den aktuellen Treiberbestand mit einer vorherigen Bestandsaufnahme vergleichen.
Dadurch lassen sich beispielsweise folgende Veränderungen erkennen:
- neu installierte Treiber
- entfernte Treiber
- veränderte Treiberdateien
- unerwartete Änderungen am Treiberbestand
Gerade in professionell administrierten Windows-Umgebungen kann ein solcher Baseline-Vergleich eine sinnvolle Ergänzung bestehender Monitoring- und Security-Lösungen darstellen.
Integration in Wazuh und SIEM-Systeme
DriverRiskScout kann Findings zusätzlich im NDJSON-Format bereitstellen.
Dadurch können die Ergebnisse beispielsweise in Wazuh, Elasticsearch, OpenSearch oder andere SIEM- und Log-Management-Plattformen übernommen werden.
Die DriverRiskScout-Findings können dort mit weiteren sicherheitsrelevanten Ereignissen korreliert werden.
Beispiele:
- auffällige Prozessstarts
- neue Dienstinstallationen
- Veränderungen auf einem Endpoint
- Malware-Erkennungen
- administrative Aktivitäten
- weitere Security Events
Für welche Einsatzbereiche eignet sich DriverRiskScout?
- Windows-Sicherheitsaudits
- Vulnerability Assessments
- Penetration-Testing-Vorbereitung
- Systemhärtung
- Incident Response
- SOC-Analysen
- Treiberinventarisierung
- BYOVD-Risikoanalysen
- kontinuierliches Endpoint-Monitoring
Ein Fund ist noch keine Sicherheitslücke
Bei automatisierten Sicherheitsanalysen ist die richtige Einordnung eines Findings entscheidend.
Ein erkannter Treiber bedeutet nicht zwangsläufig, dass dieser auf dem jeweiligen System tatsächlich erfolgreich ausgenutzt werden könnte.
Bei der Bewertung müssen unter anderem berücksichtigt werden:
- genaue Treiberversion
- Windows-Version
- installierte Sicherheitsupdates
- Systemkonfiguration
- digitale Signatur
- Herstellerinformationen
- vorhandene Schutzmaßnahmen
- tatsächliche Verwendung des Treibers
DriverRiskScout versteht sich deshalb nicht als automatisches Entscheidungssystem, sondern als Werkzeug zur Identifikation und Priorisierung möglicher Risiken.
Unser Ziel mit DriverRiskScout
Viele klassische Sicherheitsüberprüfungen konzentrieren sich auf Anwendungen, Betriebssystemupdates, Netzwerkdienste, Benutzerkonten und bekannte CVEs.
Die darunterliegende Treiberebene wird dagegen häufig deutlich weniger betrachtet.
Mit DriverRiskScout möchten wir genau diesen Bereich sichtbarer machen.
Unser Grundgedanke lautet:
Erkennen, welche potenziell gefährlichen Kernel-Treiber auf einem System vorhanden sind, bevor ein Angreifer versucht, sie zu missbrauchen.
DriverRiskScout auf GitHub
DriverRiskScout stellen wir auch als öffentliches Projekt auf GitHub zur Verfügung.
Das Projekt wird kontinuierlich weiterentwickelt. Geplant sind unter anderem zusätzliche Detection-Profile, verbesserte Threat-Intelligence-Auswertungen, erweiterte DriverStore-Analysen und weitere Integrationsmöglichkeiten für zentrale Security- und SIEM-Plattformen.
Damit möchten wir Administratoren, Security-Analysten und Penetrationstestern eine zusätzliche Möglichkeit geben, einen häufig übersehenen Teil der Windows-Angriffsfläche systematisch zu untersuchen.
DriverRiskScout und weitere Projekte von Systemhaus Schulz auf GitHub ansehen
DriverRiskScout – defensive Windows driver security assessment.