Hardware & Software Genshin Impact: Anti-Cheat-Datei hebelt Virenschutz aus

Sicherheitsforscher von Trend Micro warnen, dass Hacker bereits aktiv die Schwachstelle im Treiber „mhyprot2.sys“ von Genshin Impact nutzen.
Einerseits soll Anti-Cheat-Software Spieler von Online-Spielen daran hindern, sich durch die Verwendung von Drittanbieter-Tools einen unfairen Vorteil zu verschaffen. Andererseits sind Systeme mit Zugriff auf Root-Rechte auf Kernel-Ebene gefährlich. Sicherheitsforscher von Trend Micro

Du musst dich Anmelden oder Registrieren um diesen link zusehen!

, dass Hacker einen Anti-Cheat-Systemtreiber für das Spiel Genshin Impact missbrauchten, um die Antivirensoftware zu deaktivieren, während sie einen Ransomware-Angriff durchführten.

Genshin Impact verwendet Anti-Cheat-Datei mhyprot2.sys​

Das Free-to-Play-MMOPRG-Spiel Genshin Impact hat der chinesische Entwickler HoYoverse ( miHoYo in China ) im Jahr 2020 veröffentlicht. Seither ist es sehr beliebt. Zahlreiche Spieler loggen sich über Mobilgeräte, Konsolen oder auf dem PC in seine Fantasy-Spielwelt, namens Teyvat, ein. Während allerdings die meisten Spiele als Anti-Cheat-Systeme entweder EasyAntiCheat oder BattlEye nutzen, so verwendet Genshin Impact speziell die Anti-Cheat-Datei mhyprot2.sys.

Trend Micro untersucht Ransomware-Angriff auf Kernel-Ebene​

Der Antivirus-Anbieter Trend Micro erhielt im Juli 2020 einen Bericht von einem Kunden, der Opfer von Ransomware wurde, obwohl dessen Systeme bezüglich Endpunktschutz ordnungsgemäß konfiguriert waren. Als die Sicherheitsforscher von Trend Micro, Hitomi Kimura und Ryan Soliven, den Angriff untersuchten, stellten sie fest, dass ein Hacker einen Code-signierten Treiber, mhyprot2.sys, verwendet hatte, um Berechtigungen zu umgehen und den Virenschutz mit Kernel-Befehlen zu beenden. Fraglich bleibt allerdings, wie es den Hackern ursprünglich gelang, in das System einzudringen. Die Forscher führten aus:

Du musst dich Anmelden oder Registrieren um den Inhalt der Angebote zu sehen!

Angreifer zielen auf Windows-Benutzer​

Gemäß den Sicherheitsforschern von Trend Micro zielen Angreifer dabei auf Windows-Benutzer des beliebten Open-Action-Spiels Genshin Impact ab. Der Anti-Cheat für Genshin funktioniert als Gerätetreiber und hat eine Autorisierung auf Kernel-Ebene auf dem Computer. Somit können potenzielle Angreifer diese Datei unter Ausnutzung der Sicherheitslücke dazu missbrauchen, verschiedene Sicherheitsvorkehrungen zu umgehen und so den Endpunktschutzprozess beenden.

Dem Hacker gelang es konkret, Ransomware einzuschleusen, alle Dateien zu verschlüsseln und sich Zugang auf vertrauliche Daten zu verschaffen. Außerdem kann die Schadsoftware, gemäß den Sicherheitsforschern, über einen PsExec-Prozess auf andere Computer übertragen werden. Die Angreifer konnten den Treiber und die Ransomware vollständig auf eine Netzwerkfreigabe laden, mit dem Ziel der Massenbereitstellung.

Der anfällige Treiber ist seit 2020 bekannt und ermöglicht den Zugriff auf jeden Prozess-/Kernel-Speicher und die Möglichkeit, Prozesse mit den höchsten Zugriffsrechten zu beenden. Zwar haben Sicherheitsforscher das Problem in der Vergangenheit mehrfach an den Anbieter gemeldet. Das Code-Signing-Zertifikat hat man jedoch nicht widerrufen, sodass man das Programm weiterhin unter Windows installieren kann, ohne Alarm zu schlagen. Um die Treiber-Funktionen ausnutzen zu können, muss das Spiel auch nicht zwingend installiert sein. Das Modul kann unabhängig arbeiten und benötigt das Spiel nicht, um zu laufen. Trend Micro warnt daher:

Du musst dich Anmelden oder Registrieren um den Inhalt der Angebote zu sehen!

Trend Micro weist darauf hin, dass es im Ergebnis des Vorfalls bestimmte Korrekturen an seiner Antivirensoftware vorgenommen hat, um den Treiber abzuschwächen. Andere Virenschutz-Suiten könnten allerdings mhyprot2.sys immer noch übersehen, es sei denn, man hätte sie speziell dafür konfiguriert.

Spiele-Entwickler stellt Patch bereit​

Als Reaktion auf den Bericht von Trend Micro hat der Entwickler von Genshin Impact, miHoYo, einen Patch entwickelt, um die Bedrohung zu entschärfen. Es aktualisierte das Anti-Cheat-System demgemäß, dass es sich ausschaltete, wenn Benutzer das Spiel nicht spielt. Der Entwickler teilte mit:

Du musst dich Anmelden oder Registrieren um den Inhalt der Angebote zu sehen!

Laut den Sicherheitsforschern von Trend Micro „gibt es derzeit keine Lösungen“. Das Anti-Cheat-System ist ein legitimes Programm, das von einem legitimen Unternehmen signiert wurde. Daher wird es nicht von Antivirus oder Windows als schädlich gekennzeichnet. Nachdem die Schwachstelle entdeckt wurde, könnten sich nun die Schleusen für weiteren potenziellen Missbrauch geöffnet haben.

Wie

Du musst dich Anmelden oder Registrieren um diesen link zusehen!

, riet der Sicherheitsforscher Kevin Beaumont Usern, den folgenden Hash zu blockieren, um sich vor dem Treiber zu schützen: 0466e90bf0e83b776ca8716e01d35a8a2e5f96d3 .

Tarnkappe.info