Microsoft verhelpt probleem met verouderde driver-blocklist voor Windows 10

Microsoft komt met een fix voor een verouderde blocklist in Windows 10 die moet verhinderen dat kwetsbare drivers kunnen worden geladen. Die lijst was al drie jaar niet meer bijgewerkt. De fix moet ervoor zorgen dat de blocklist voortaan even actueel is op Windows 10, als op Windows 11.

De fix van Microsoft komt er nadat beveiligingsonderzoeker Will Dorman eerder deze maand had ontdekt dat de blocklist waarmee Windows 10 het computersysteem moet beschermen tegen aanvallen met kwetsbare drivers, sinds 2019 niet meer is bijgewerkt. Dat bood volgens de man mogelijkheden voor kwaadwilligen die systemen wilden aanvallen met kwetsbare drivers, ook wel bekend als Bring Your Own Vulnerable Driver-aanvallen.

De blocklist is actief op Windows 10-systemen waar de Hypervisor-protected Code Integrity-functie staat op ingeschakeld en Windows 10-systemen waar de S-Modus in gebruik is. In Windows 11 staat de blocklist standaard ingeschakeld op alle systemen die versie 22H2 draaien. Het is ook mogelijk om de blocklist uit te schakelen op Windows 10 en Windows 11.

Reacties (38)

[dasiro]

FYI: default staat het disabled op windows 10
te controleren via
Settings > Update & Security > Windows Security > Device security > Core isolation details > Memory integrity

[Henk Poley]

Maar dan Core isolation > Microsoft Vulnerable Driver Blocklist

In ieder geval in Windows 11, maar volgens mij is dit gewoon de meest recente Defender (Windows Security) die het zo weergeeft.

Overigens gaat deze schakelaar om het in gebruik stellen van de (al dan niet verouderde) blokkeerlijst.

[dasiro]

in windows 10 is er geen aparte setting voor de blocklist en maakt hij integraal onderdeel uit van memory integrity
in windows 11 wel er wel een aparte setting voor de blocklist als onderdeel van memory integrity

[R4gnax]

in windows 10 is er geen aparte setting voor de blocklist en maakt hij integraal onderdeel uit van memory integrity
in windows 11 wel er wel een aparte setting voor de blocklist als onderdeel van memory integrity

Hoe achterlijk is het überhaupt dat die hele blocklist enkel en alleen werkt als de memory integrity feature aan staat?

Die blocklist zou ook gebruikt moeten worden als die spcifieke feature uitstaat, om simpelweg het inladen van de kernel driver vanuit een proces met minder permissies, gelijk te blokkeren. Daarmee voorkom je in elk geval dat malware die nog niet voldoende systeempermissies heeft om de blocker zelf aan te vallen of te omzeilen, triviaal een gevaarlijke driver kan inladen.

Kom op zeg, Microsoft. Dat kunnen jullie zelf toch ook wel bedenken, hoop ik?
Defense in depth en zo, heh?

[dasiro]

ik gok dat het te maken heeft met het feit dat memory integrity ervoor zorgt dat processen niet aan elkaars memory geraken, wat een vereiste is voor dit soort aanvallen.

[R4gnax]

ik gok dat het te maken heeft met het feit dat memory integrity ervoor zorgt dat processen niet aan elkaars memory geraken, wat een vereiste is voor dit soort aanvallen.

Definieer 'dit soort aanvallen' ?
Laatst had je nog een exploiteerbare driver van een oude versie van een anti-cheat waarmee remote code execution in de kernel mogelijk was. Dat heeft niets te maken met geheugen van andere processen kunnen zien of manipuleren.

Zonder een block actief zou een gebruikersaccount wat enkel normale gebruikersrechten heeft, zo'n driver in de kernel mogen inladen zolang deze ondertekend is met een nog steeds geaccepteerd certificaat.

Met een block actief op een niveau waar een normale gebruikersaccount niet aan kan, is het in elk geval niet met-twee-vingers-in-de-neus direct mogelijk voor een aanvaller om zulke drivers makkelijk ingeladen te krijgen en in te zetten als onderdeel van privilege escalation.

Ja; als een aanvaller via een andere weg administrator rechten weet te krijgen gaat dat niet meer helpen en ben je inderdaad aangewezen op een feature als memory integrity die middels virtualisatie en hypervisors geheugen hard scheidt en zaken op diep gelegen niveau al tamper-proof maakt.

Maar je zou in elk geval nog iets kunnen doen tegen het triviale geval voor mensen die memory integrity niet aan kunnen zetten vanwege valide drivers die niet compatible zijn. Want op heel veel systemen is dat nog steeds problematisch. Met de huidige opzet doet Microsoft niets voor die poel gebruikers.

[Reactie gewijzigd door R4gnax op 24 juli 2024 17:46]

[dasiro]

kernel drivers kunnen oa een code inject doen in andere processen:

Once the attacker has loaded their unsigned driver into the kernel, they can accomplish a wide variety of tasks they wouldn’t be able to otherwise. Some obvious examples include unhooking EDR callbacks or hiding exploitation/rootkit artifacts. The attacker can write themselves a UEFI rootkit. Or just overwrite all data (resulting in BSoD). Or inject code into other processes.

maar daarnaast kunnen ze LSA omzeilen en aan het geheugen geraken (read én inject):

The previously mentioned attacks largely focused on executing code in kernel mode. However, BYOVD also enables a simpler data-oriented attack that allows the attacker to subvert LSA protection.
LSA protection prevents non-protected processes from reading the memory of, or injecting code into, Windows' Local Security Authority Subsystem Service (lsass.exe). That means tools like Mimikatz can’t dump the memory contents of lsass.exe in order to retrieve Windows account credentials.

bron

[R4gnax]

En dat kunnen die drivers pas doen wanneer ze ook geladen zijn.
Het laden van een driver in de kernel is iets wat een gebruikersaccount eerst toe moet staan.

Daar zou je de block list ook al toe moeten passen; het punt waar er gekozen kan worden om een driver te registreren en in te laden. Niet enkel en alleen op het punt waar de driver al geladen is en aan het draaien is; wat is waar de memory integrity functie op leunt.

De memory integrity functie is bedoeld als een laatste verdedigingslijn om te zorgen dat een driver sandboxed is; en mocht deze al dan niet doelbewust foute dingen gaan doen met ander geheugen wat niet aan de driver toebehoord; dit geblokkeerd kan worden. Dan gaat die ene driver misschien neer, maar gaat niet de hele kernel neer met geheugencorruptie; en kan er hopelijk ook geen doelbewust misbruik optreden.

[Reactie gewijzigd door R4gnax op 24 juli 2024 17:46]

[dasiro]

er zijn wel policies voor, maar die moet je dan eerst instellen en dat zullen (thuis)gebruikers nooit doen

[rubenvb]

*nooit kunnen doen, aangezien de Group Policy Editor niet in de Home versie zit.

[dasiro]

dan steek je het er in
https://www.majorgeeks.co...dows_10_home_edition.html

[TheToolGuy]

Heb ik getest ...

Alles wat je daarna in de group policy editor insteld wordt nooit actief ...
En nee, ook niet met gpupdate /force ...
Schijn oplossing dus ...

Je moet echt de Pro of Enterprise versie van Windows hebben om het ook daadwerkelijk te laten functioneren ...

[Reactie gewijzigd door TheToolGuy op 24 juli 2024 17:46]

[dasiro]

en als je via secpol gaat? ik heb geen home editions om op te testen

[TheToolGuy]

Same, heeft ook geen effect ... Home edition is echt iets wat je niet wilt ...
Als je privacy en dergelijke een beetje wilt bewaren, ga voor de Pro of hoger ... Enterprise is nog iets beter, aangezien je daarbinnen nog veel meer telemetry zaken uit kunt schakelen (Niet alles via gpedit, maar toch behoorlijk veel.)

Beste resultaten als je gewoon via de registry editor gaat (werkt grotendeels óók voor de Home editie, behalve uiteraard policy gerelateerde instellingen, die werken in Home echt niet) ...

Aanrader:
Privacy Sexy (is geen natuur site hoor)

Instellingen aanvinken en in de rechter kolom de code copieeren, in een powershell script zetten en uitvoeren (als administrator, maar daar vraagt de uitvoerbare code zelf al om in het begin) ...
Rebooten en gaan met die banaan ... :-)

[Reactie gewijzigd door TheToolGuy op 24 juli 2024 17:46]

[latka]

Sinds windows 95/protected mode kan dit al niet meer: processen zijn gescheiden en krijgen een eigen stukje virtueel geheugen. Ik denk dat het gewoon te laat als feature bedacht is en er gewoon geen aparte ui voor is gemaakt.

[Kewne]

Ik snap sowieso niet waarom er een "off" toggle op zit. De drivers op de blocklist zijn voor het grootste deel enorm outdated en worden toch al jaren vrijwel niet meer gebruikt. Laat de mensen die dat soort drivers echt willen gebruiken maar gewoon in driver test signing mode draaien.

"Ja maar controle over eigen systeem blabla" dat is al weggenomen toen ze met driver signing als vereiste aankwamen, een jaar of ~15 terug.

[wiseger]

Blokkade van een driver kan dure hardware onbruikbaar maken.
Dat je dan als eigenaar van een PC zelf kan kiezen of je daar dan nog gebruik van kan maken lijkt me vrij logisch.

[Remzi1993]

Dit is dan alleen met de nieuwste versie van Windows 11 22H2 want ik draai Windows 11 21H2 en heb dit niet kunnen vinden.

Edit: Correctie, je hebt gelijk. Het is er ook op Windows 11 21H2. Ik kan het alleen niet uit en aanzetten. Het is grijs en staat standaard op aan.

[Reactie gewijzigd door Remzi1993 op 24 juli 2024 17:46]

[vinkjb]

Voorlopig krijg ik steeds error met update naar 22h2, dat wil gewoon niet lukken op officiele W10 pro
opgezocht en via MS in cmd lang commando moeten invoeren wat iets moet opschonen krijg ik de indruk maar helaas.

[Reactie gewijzigd door vinkjb op 24 juli 2024 17:46]

[Cuverclub]

Met de ISO download heb ik met behoud van persoonlijke instellingen en bestanden kunnen updaten, zelfs Windows 10 of 11 22h2 ook als de hardware het niet ondersteunt. Zowel officieel met de Windows Media Creation Tool als met Rufus (waar je zelfs bios MBR kan aanvinken als er geen UEFI mocht zijn) kan je ook een opstart medium maken.
Enkele weken geleden had ik voor een oud WinCE navigatiesysteem Windows 7 met mobiel apparaat centrum nodig en daarna toen ik klaar was, en bleek dat Windows 11 ook weer overweg kon met WinCE, heb ik vanuit Windows 7 via Windows Media Creation Tool Windows 11 update uitgevoerd en dat ging verbazend snel.
Dit getest op o.a. een fx6300, verschillende laptops en ook die i3 eerste generatie blijkt het te werken (tot nu toe geactiveerd etc. zonder meldingen of problemen) overigens ook met Windows 10 22h2 via Windows Media Creation Tool leverde tot nu toe geen problemen op.
Een MS account geactiveerde of lokaal account tijdens de installatie maakt ook in eerste instantie niet uit.
En wat betreft drivers zoals ADB.USB de reden voor mijn zoektocht was dat ik Android functies wilde proberen in Windows 11 zonder de "amazone" die waren ook meegenomen uit Windows 10.

[himlims_]

waarom is dat updaten 'altijd' zo'n drama bij windows? zijn inmiddels 8(?) OS builds verder, en nog steeds is dat 'windows update' een brak proces. Zeker wanneer een update om welke reden dan ook faalt het hele proces stagneert.

//edit; hoezo irrelevant?

[Reactie gewijzigd door himlims_ op 24 juli 2024 17:46]

[henkkeumus]

Ik spreek hier voor mezelf, maar ik heb echt nog nooit issues gehad met updaten.. Ik lees altijd horrorverhalen maar zelf nog nimmer zoiets meegemaakt..

Bij mij bekruipt dan altijd het gevoel dat iedereen echt op zoek is naar iets wat niet meer werkt en ja natuurlijk vind je altijd wel iets wat misschien niet meer helemaal lekker werkt na een nieuwe verse build i.v.m. aangepaste systeembestanden/aansturing. Maar complete crashes of brak updateproces, nog nooit meegemaakt .

Ook even goed om erbij te vermelden dat ik werkzaam ben in IT branche en ik dus niet enkel uit ervaring spreek door mijn eigen (persoonlijke) devices te updaten.

[Reactie gewijzigd door henkkeumus op 24 juli 2024 17:46]

[Ramoncito]

Ik heb op twee identieke laptops een specifiek probleem met audio. Het enige wat ik erover kan vinden is dat ik de oude drivers dan moet installeren die nergens te vinden zijn, maar wel in de standaard versie van Windows 10 (een van de eerdere versies) zat. De nieuwere versies van WIndows 10 geven hetzelfde probleem, ook nog bij een andere laptop gezien: Nadat een (bijvoorbeeld youtube video enige tijd is gepauzeerd, is opeens het volume enorm toegenomen. Enige remedie is dus de oude driver terugzetten, maar in Windows kan/kon ik ze nergens meer vinden.

[himlims_]

zakelijk ook nauwelijk issues mee (kun je de boel fatsoenlijk beheren, restricties of juist niet etc.)

doel meer op de prive/consument desktop; dat proces is al sinds windows xp ofzo gaar. microsoft heeft zelf diverse 'tools' om halve updates te forceren, herstellen of terug te draaien. waarom? omdat ze zelf ook dondersgoed beseffen dat het niet werk (dan maar met toolje je update fixen [..])

[Muna34]

Ik heb jarenlang een Dell XPS gehad met Windows 7/10 Pro. Er zitten extra keuzes in met betrekking tot updates en dergelijke. Zoals settings waarmee je het moment kunt bepalen wanneer de laptop mag updaten (buiten kantoortijden bijvoorbeeld). Ik heb op beide laptops gehad dat dit soort settings totaal genegeerd worden, en tijdens je werk waar je midden in zit, Windows vrolijk zijn ding gaat doen en ook automatisch opnieuw opstart.

Die geforceerde updates waren dan ook altijd een bad omen. Na een dergelijke update stonden best veel settings anders (eigenlijk altijd het update policy, stroom schema's en de privacy settings). Ik irriteerde me er rot aan dat die settings, in ieder geval op die installs stomweg niet werkte. Destijds ook de beheerders naar laten kijken, die konden wel bevestigen maar niet oplossen. Ik heb er verder eigenlijk ook niet meer de moeite in gestoken. Het nalopen van alle settings kost mij grofweg iets minder dan een kwartiertje.

Collega's hadden hier trouwens ook last van Dus het ging met een traan en een lach

Heb het hier ook eens met een andere Windows beheerder over gehad die niet bij onze organisatie hoorde, die had het erover dat veel Windows installaties gewoon custom provisions zijn en dat de meerderheid hiervan dus meer dingen stuk maken dan goed zetten.

Offtopic:
Normaal gezien ben ik dan ook geen Windows gebruiker en prefereer ik Linux voor development. In mijn wereldje is Linux dan ook de keuze voor servers en is het vaak logischer om dit op de laptop te draaien. En het oplossen van een foutje tijdens/voor/na updaten is met mijn ervaring (logisch ook) een stuk makkelijker in Linux dan in Windows omdat ik daar de weg niet ken

[Reactie gewijzigd door Muna34 op 24 juli 2024 17:46]

[incapable]

In mijn ervaring heeft het er vaak mee te maken dat de windows updater zichzelf moet updaten, terwijl andere kritieke componenten geupdate worden, en zichzelf de nek om draait.

Waarom dat inmiddels niet opgelost is, is dezelfde reden dat we in windows 11 nog steeds elementen vinden van windows 10, 8, 7 en ouder. Te veel werk, te weinig mensen/tijd

[Mizgala28]

Ik moet wel zeggen dat de vanilla Windows update vanaf Windows 10 slechter in mijn ogen is dan bijvoorbeeld in Windows 7.

Zo kon je in Windows 7 makkelijker een problematische update uitsluiten, ik weet nog hoe op een oud HP desktop van mijn zus destijds een bepaalde update voor Intel kaart terug bleef komen, die gewoon de boel om zeep hielp (1024x768 was erna je enige resolutie instelling, en de issue kwam alleen voor op de 64 bit variant van Windows 7)

Uitsluiten was de beste oplossing, omdat de driver die direct van Intel zelf kwam geen issues gaf.

Dat is wel anders met Windows 10 geweest, toen mijn zus een laptop kocht met een vrij ongebruikelijke geluidskaart, eentje die Windows update totaal liet vastlopen omdat deze het als een Realtek detecteerde terwijl dit geen Realtek was (IDT was het volgens mij, of iets in die richting)

Alles liep iedere keer volledig vast door dat ene update, uiteindelijk had ik het wel kunnen oplossen maar wel minder makkelijk dan hoe dit onder Windows 7 kon.

Ik heb sowieso weinig positiefs te zeggen over Windows Update in 10 en 11, vooral hoe lang een simpele update kan (niet altijd) duren tegenwoordig (en dat op een systeem met een NVME nota bene)

[Reactie gewijzigd door Mizgala28 op 24 juli 2024 17:46]

[Xfade]

Niks anders in W10...tenzij je Home gebruikt misschien ?

[Mizgala28]

Bijna iedereen die ik ken gebruikt Home, dus ja dat is meer gedoe.

Ikzelf gebruik 10 Pro, maar dat komt door mijn oude W7 keys.

[Ramoncito]

Ik kan me herinneren dat daar (verkeerde of ontbrekende fabrikant-ID) een tool voor was, bij mij was dat de Intel inf update meen ik me te herinneren. Daarna kon Windows de juiste drivers vinden. In ieder geval zou je de drivers van de website van de fabrikant (van de laptop of de geluidskaart) moeten installeren, maar daar zit ik soms ook erg lang naar te zoeken...

[tweakorinho]

Ik ben geen windows 'insider' en vraag dit voor een vriend:
Dus een lijst die enkel blokkeringen uitvoert op belangrijke beveiligingsprocessen - "prevents attacks from inserting malicious code..." - staat by default op uit en als deze niet up to date is en geactiveerd maakt dat het een systeem minder veilig?

"Without memory integrity running, the "security guard" stands right out in the open where it's much easier for an attacker to interfere with or sabotage the guard, making it easier for malicious code to sneak past and cause problems."

Ik kijk naar de support pagina maar kan het nog niet uitsluiten.

[kodak]

Het hangt van de omstandigheden af of beveiliging je minder risico geeft. De beveiliging zelf is ook niet zonder risico, bijvoorbeeld omdat het de werking van je systeem of belangrijke services kan blokkeren.

Microsoft schrijft daarvoor een belangrijke opmerking: dat ze keuzes maken of een driver wel of niet op de lijst voor beveiliging komt.

Welke keuzes dat zijn, over welke drivers ze besluiten hebben genomen en over welke drivers ze nog niet besloten hebben is niet duidelijk. En blijkbaar controleerde Microsoft jaren lang ook niet eens of de beveiliging wel voldoende werkte.

Ik krijg bij deze optionele beveiliging de indruk dat Microsoft meer bezig was met reclame maken dat ze deze beveiliging aanbieden en een goed gevoel geven, in plaats van wanneer het nu echt minder risico geeft.

[sjonie100]

Intel NUC i5-5250u: 2 Intel HD6000 drivers geven problemen om de'Hypervisor-protected Code Integrity-functie' aan te zetten. Heb ze net beide bijgewerkt door Windows te laten zoeken 'op internet'. Deze zegt dat de nieuwste drivers nu geïnstalleerd zijn.
Maar deze beide drivers blijven de optie om het aan te zetten blokkeren.
Misschien door de verouderde blocklist??

[segil]

weet dat niet zeker, maar zoiets had ik ook met de auora software van Asus. Die kon ik niet gebruiken als Core Isolation ingeschakeld is. Of het komt omdat de software daarvoor ondersteuning moet bieden, of omdat een gebruikte driver actief wordt geblokt door die feature, weet ik niet. Ik heb wel vernomen dat inmiddels Asus de software heeft bijgewerkt en nu werkt het wel.

[R4gnax]

Nee. Die drivers zijn geschreven op een oude voet die niet compatible is met de memory integrity feature.
Zo zijn er nog legio. Vaak ook printer en handscanner drivers; drivers voor memory card readers; en - jawel - kernel mode drivers voor anti-cheats.

[Mel33]

En wat kan je doen als je memory integriteit aan hebt gezet of niet aan kan zetten? en hij vindt ongeldige drivers, hij vind ze wel maar laat niet zien waar ze staan.
Uitzetten is de enige optie lijkt wel.

[Johan1995]

kwaadwilligen
Kwaadwillende

[Anoniem: 206724]

Keer wat anders dan een blockchain.
(+1 grappig)