WMI-Virus: Festplattenlose Ausführung erreicht
Ein Proof-of-Concept-Projekt, Stuxnet, demonstriert einen neuartigen Virus, der seinen schädlichen Code in der Windows Management Instrumentation (WMI) versteckt und so eine festplattenlose Ausführung erreicht. Der Virus nutzt die WMI als Dateisystem und verwendet ein PowerShell-Skript beim Systemstart, um die Nutzlast zu extrahieren und in den Speicher zu laden. Das Projekt enthält eine neuartige Privilegieneskalationstechnik und fortschrittliche Techniken zur Umgehung von Antivirenprogrammen, wie z. B. das bedarfsgesteuerte Laden von Systembibliotheken und die dynamische Suche nach Funktionsoffsets, wodurch die Erkennung durch gängige Antivirenprogramme und Sandboxes verhindert wird. Der Autor deutet auch auf potenzielle Möglichkeiten zur Ausnutzung von Sicherheitslücken im Kernelspace innerhalb der WMI hin.
Mehr lesen