Windows Vista: Schutz vor Rootkits

Microsoft hat eine Seite eingerichtet, die Entwickler von Treibern für die kommende Windows-Version "Vista" unterstützen soll. In der 64-Bit-Version von Vista und dessen Server-Variante ("Longhorn") sollen Treiber, die im Kernel-Modus arbeiten, nur noch installiert werden können, wenn sie eine digitale Signatur enthalten ( wir berichteten

Microsoft gibt offiziell an, dies diene der Vorbeugung vor möglichen Problemen mit Treibern von Drittherstellern. Ist ein Treiber signiert, ist auch dessen Hersteller bekannt und kann bei Problemen hinzu gezogen werden. Bislang warnt Windows lediglich bei der Installation eines unsignierten Treibers, lässt sie dann jedoch zu.

Diese neue Regelung bringt jedoch noch einen anderen Sicherheitsaspekt mit sich. So genannte "Kernel-Mode Rootkits" können nicht mehr installiert werden, selbst wenn der Anwender mit Administrator-Rechten angemeldet ist. Diese Rootkits installieren sich als Treiber auf Systemebene und manipulieren die Informationen, die Anwendungen über den Anruf von Windows-Funktionen zu sehen bekommen.

Sie entfernen also etwa aus einer angeforderten Liste von in einem Verzeichnis vorhandenen Dateien bestimmte Einträge. Diese Dateien bleiben somit unsichtbar, auch für Windows und die meisten der heutigen Antivirus-Programme. Auch Registry-Einträge können auf diesem Wege vor Anwendungen und der Windows-Programmierschnittstelle (Windows-API) verborgen werden.

Auch Hersteller von Antivirus-Software werden dann ein Zertifikat benötigen. Unter anderem zur Entdeckung von Rootkits laden Antivirus-Programme sehr früh beim Windows-Start eine Komponente, die als Systemtreiber realisiert ist. Bislang gibt es allerdings ohnehin kaum Antivirus-Programme, die 64-Bit-Versionen von Windows unterstützen.

Quelle