Diagnosematrix: Anti-Cheat-Treiber, Signaturen und Rootkit-Gefahren
Auf privaten Multiplayer-Servern werden Spieler häufig aufgefordert, eigene Starter samt spezieller .sys-Treiber zu installieren. Da Nutzer an Kernel-Treiber (Ring 0) durch Vanguard oder Easy Anti-Cheat gewöhnt sind, missbrauchen Kriminelle dieses Vertrauen, um Kernel-Rootkits zu installieren oder Systeme via BYOVD (Bring Your Own Vulnerable Driver) zu kompromittieren.
| Treiber-Typ | Privilegien-Stufe | Signaturanforderung | Angriffsvektor | Gefährdungsgrad |
|---|---|---|---|---|
| Offizieller Anti-Cheat (Vanguard/EAC) | Ring 0 (Kernel) | Microsoft WHQL-Zertifikat mit EV-Signatur | Äußerst seltene Zero-Day-Lücken | Regelmäßige Sicherheitsüberprüfungen |
| Manipulierter P-Server-Treiber | Ring 0 (Kernel) | Selbstsigniert; verlangt Windows-Testmodus | Beliebige Speicherzugriffe, Keylogging | Fatal: Vollständige Übernahme des Systems |
| BYOVD-Schadsoftware | Ring 0 über verwundbaren Alt-Treiber | Alte, gültige Signatur (z. B. veralteter Capcom-Treiber) | Nutzt bekannte CVE-Lücken zur Umgehung von DSE | Fatal: Schaltet Windows Defender im Kernel ab |
| User-Mode-Anti-Cheat | Ring 3 (Benutzermodus) | Standard-App-Signatur | Beschränkt auf den Spielprozess | Gering: Kann den Windows-Kern nicht gefährden |
Wie BYOVD-Angriffe funktionieren
- Windows blockiert unsignierte Treiber über die Driver Signature Enforcement (DSE).
- Der Angreifer nutzt einen jahrealten, damals legitim signierten Treiber eines bekannten Herstellers, der eine gravierende Sicherheitslücke (CVE) enthält.
- Da die Signatur echt ist, lädt Windows den Treiber anstandslos in Ring 0.
- Die Schadsoftware missbraucht die Schwachstelle dieses Treibers, um Windows Defender im Kernel abzuschalten und persistente Rootkits zu installieren.
Sicherheitsleitfaden für P-Server-Starter
1. Niemals die Treibersignaturprüfung deaktivieren
- Wenn eine Anleitung verlangt, folgende Befehle in der Eingabeaufforderung auszuführen, brich die Installation sofort ab:
bcdedit /set nointegritychecks onbcdedit /set testsigning on - Diese Befehle hebeln den Basisschutz von Windows komplett aus.
2. Speicher-Integrität (HVCI) aktivieren
- Öffne die Windows-Sicherheit -> Gerätesicherheit.
- Klicke auf Details zur Kernisolierung.
- Schalte die Speicher-Integrität auf Ein. Dies blockiert bekannte verwundbare Treiber automatisch.
3. Treibersignaturen mit Sigcheck überprüfen
- Lade Microsoft Sysinternals
Sigcheckherunter. - Führe aus:
sigcheck64.exe -h -v [Treiber.sys], um Signatur und Zertifikatsstatus zu prüfen.