Kernel-basierte Anti-Cheat-Software ist still und leise zu einer der größten Angriffsflächen im PC-Gaming geworden
Kernel-basierte Anti-Cheat-Software läuft heute mit denselben Rechten wie Ihre Antiviren-Engine auf zig Millionen PCs, und dieser Zugriff ist zu einer der am leichtesten ausnutzbaren Angriffsflächen in der Consumer-IT geworden. Riot Games' Vanguard, Easy Anti-Cheat (EAC), BattlEye und Denuvo Anti-Cheat laden allesamt einen signierten Treiber in Ring 0 des Windows-Kernels, dieselbe Berechtigungsebene wie das Betriebssystem selbst, um Speichermanipulations-Cheats zu erkennen, die User-Mode-Tools nicht sehen können. Das Problem: Ein Treiber, dem genug vertraut wird, um jeden Prozess im Speicher zu inspizieren, genießt auch genug Vertrauen, um Sicherheitssoftware zu deaktivieren, und Angreifer nutzen dieses Vertrauen seit mindestens 2022 gezielt aus.
Das ist keine Theorie. Sicherheitsforscher und Microsofts eigene Vulnerable Driver Blocklist (VBL) haben wiederholt signierte Anti-Cheat- und Gaming-Treiber als "Bring Your Own Vulnerable Driver"-Vektor (BYOVD) eingestuft: Angreifer laden einen legitim signierten, aber fehlerhaften Treiber und nutzen dessen Kernel-Zugriff, um EDR-Prozesse zu beenden, bevor sie Ransomware ausrollen. Dieses Muster tauchte bei Vorfällen im Zusammenhang mit BlackByte und anderen Ransomware-Gruppen auf, die verwundbare Treiber bevorzugen, weil diese eine gültige Microsoft-Signatur tragen und so an Code-Signing-Prüfungen vorbeikommen, die ein unsigniertes Kernel-Modul sofort blockieren würden.
Wie ein vertrauenswürdiger Treiber zur Waffe wird
Der Mechanismus dahinter ist simpel. Windows verlangt, dass Kernel-Mode-Treiber signiert sind, entweder direkt von Microsoft oder über das WHQL-Programm (Windows Hardware Quality Labs), um zu verhindern, dass beliebiger Code auf der höchsten Berechtigungsebene ausgeführt wird. Anti-Cheat-Anbieter brauchen genau diesen Zugriff, um den Speicher gegnerischer Prozesse zu lesen, Systemaufrufe abzufangen und Debugger zu erkennen, alles, was ein User-Mode-Cheat-Prozess sonst verstecken könnte. Der Anbieter bekommt also einen legitim signierten Treiber auf jeder Maschine installiert, auf der das Spiel läuft.
Hat dieser Treiber einen Fehler, etwa einen offenen IOCTL-Handler, über den jeder Prozess auf der Maschine ihm Befehle schicken kann, braucht ein Angreifer nicht einmal einen eigenen bösartigen Treiber. Er lädt den bereits signierten, bereits vertrauenswürdigen Anti-Cheat-Treiber, spricht mit dessen offener Schnittstelle und nutzt dessen Kernel-Rechte, um geschützte Prozesse zu beenden, einschließlich EDR-Agenten von CrowdStrike, SentinelOne oder Microsoft Defender for Endpoint. Genau das passierte mit miHoYos Treiber mhyprot2.sys, der ursprünglich mit dem Anti-Cheat-System von Genshin Impact ausgeliefert wurde: Er stellte Funktionen bereit, mit denen jeder lokale Prozess beliebige andere Prozesse beenden konnte, und Ransomware-Betreiber griffen genau deshalb darauf zurück, weil es sich um eine saubere, signierte Binärdatei ohne offensichtliche Malware-Signatur handelte.
Das Skalierungsproblem
Capcoms Anti-Cheat-Treiber wies 2020 eine ähnliche Schwachstelle zur beliebigen Prozessbeendigung auf. Der Treiber von Genshin Impact blieb auf manchen Systemen selbst nach der Deinstallation des Spiels installiert und aktiv, weil die Installationsroutine nie einen Deinstaller für die Kernel-Komponente vorsah, ein Detail, das erst breitere Aufmerksamkeit erhielt, als Sicherheitsforscher begannen zu kartieren, welche "LOLDrivers" (Living-off-the-Land-Treiber) Ransomware-Gruppen zur Wiederverwendung katalogisierten. Microsofts VBL, die über Windows Update und App Control for Business ausgeliefert wird, blockiert inzwischen per Hash Dutzende spezifische Versionen von Anti-Cheat- und Gaming-Utility-Treibern, aber die Liste bleibt reaktiv: Ein Treiber muss erst bei einem Missbrauch erwischt werden, bevor er hinzugefügt wird, und neue Anti-Cheat-Treiberversionen erscheinen ständig, während Anbieter Umgehungen patchen.
Der Maßstab zählt hier mehr als jeder Einzelvorfall. Allein Valorant hat über 20 Millionen monatlich aktive Spieler, und Vanguard installiert sich beim Hochfahren, noch bevor die Benutzeroberfläche des Betriebssystems lädt, gerade damit Cheat-Tools es nicht während einer Sitzung deaktivieren können. EAC und BattlEye zusammen decken Hunderte von kompetitiven Titeln ab. Das ist eine Binärdatei mit Kernel-Rechten, kontrolliert von einem Drittanbieter statt vom Betriebssystem-Hersteller, auf einer riesigen installierten Basis, und anders als ein Antiviren-Anbieter haben sich die meisten Anti-Cheat-Anbieter nie der Art von adversarialem Sicherheitsaudit unterzogen, dem EDR-Produkte routinemäßig ausgesetzt sind, weil ihr Bedrohungsmodell darauf ausgelegt war, Cheater zu fangen, nicht, staatlich finanzierter Treiber-Exploit-Forschung zu widerstehen.
Warum sich das immer wiederholt
Anti-Cheat-Anbieter stehen vor einem strukturellen Anreizproblem: Jede neue Kernel-Fähigkeit, die hinzugefügt wird, um einen raffinierteren Cheat zu erkennen, ist zugleich eine neue Fähigkeit, die ein Angreifer ausnutzen kann, doch die Kennzahl des Anbieters ist die Cheat-Erkennungsrate, nicht die Minimierung der Angriffsfläche. Diese Systeme so umzubauen, dass sie im User-Mode mit engeren Fähigkeiten laufen, die Richtung, die Valve mit dem größtenteils im User-Mode arbeitenden VAC für Steam eingeschlagen hat, wobei eine niedrigere Erkennungsobergrenze gegen einen drastisch kleineren Kernel-Fußabdruck eingetauscht wird, ist ein echter Kompromiss, den die meisten Publisher bislang nicht eingehen wollten, weil Beschwerden über kompetitive Integrität Bewertungen und Spielerzahlen schneller bewegen als eine theoretische Treiber-CVE.
Microsoft drängt Anbieter zudem in Richtung seiner Frameworks Kernel-Mode Hardware-Enforced Stack Protection und HVCI (Hypervisor-Protected Code Integrity), die einschränken, was ein Kernel-Treiber selbst mit gültiger Code-Signatur tun kann, die Einführung ist jedoch optional und langsam, weil sie die Erkennungslogik des Anti-Cheat beeinträchtigen kann, die auf breite Speichersicht angewiesen ist. Bis eine HVCI-artige Eindämmung verpflichtend statt optional wird, bleibt das Vertrauensmodell signierter Treiber, das Anti-Cheat funktionieren lässt, dasselbe, das es zu einem dauerhaften BYOVD-Ziel macht.
Was tatsächlich zu tun ist
Für IT-Administratoren, die Flotten mit kompetitiven Spielen verwalten, üblich in Gaming-Cafés, Esport-Organisationen und sogar in allgemeinen Unternehmensimages, in denen Mitarbeiter lokale Admin-Rechte haben, besteht die praktische Maßnahme darin, Microsofts VBL aktiviert und aktuell zu halten, statt sie aus Kompatibilitätsgründen zu deaktivieren, da diese Blockliste der wichtigste Mechanismus ist, der aktiv bekanntermaßen missbrauchbare Gaming-Treiber entfernt. Unternehmens-EDR-Deployments sollten gezielt Anti-Cheat-Treiber-Ladevorgänge außerhalb erwarteter Gaming-Prozesse überwachen; ein Vanguard- oder EAC-Treiber, der auf einem Server oder einer Workstation ohne passend installiertes Spiel lädt, ist für sich allein schon ein starkes Signal, das eine Untersuchung wert ist.
Für Spieler ist die realistische Erkenntnis enger gefasst: Die Deinstallation eines kompetitiven Spiels entfernt nicht immer dessen Kernel-Treiber, daher lohnt es sich, nach der Deinstallation von Anti-Cheat-geschützten Titeln die Liste der installierten Windows-Treiber zu prüfen (über den Befehl driverquery in einem erhöhten Terminal), die dreißig Sekunden, die das kostet. Für Publisher, die noch entscheiden, wie sie die nächste Anti-Cheat-Generation bauen, ist Valves VAC-Kompromiss derjenige, der eine ernsthafte Untersuchung wert ist: ein Erkennungssystem mit niedrigerer Obergrenze, aber einem Kernel-Fußabdruck, der klein genug ist, um nicht mehr der bevorzugte signierte Treiber einer Ransomware-Gruppe zu sein.