Auf den Punkt: Angreifer mit Admin-Zugriff können Windows Bind Links nutzen, um legitime Dateipfade auf bösartige Binaries umzuleiten und so EDR-, AMSI- und AppLocker-Kontrollen zu umgehen.
Bitdefender-Forscher haben drei Techniken dokumentiert, die Windows Bind Links missbrauchen, um EDR-Sensoren zu täuschen und Windows-Sicherheitsmechanismen wie AMSI und AppLocker zu umgehen. Die Angriffe erfordern bereits bestehende Administrator-Rechte auf dem Zielrechner.
Bitdefender hat drei Exploitations-Varianten benannt: File-Binding, Process-Binding und Silo-Binding. Alle drei nutzen den Windows Bind Filter-Treiber (bindflt.sys) aus, der Dateipfade im Speicher umleitete. Die Techniken sind auf Windows 10 RS4 und höher sowie Windows 11 wirksam.
Bei File-Binding leiten Angreifer Pfade zu vertrauenswürdigen DLLs oder Dateien um – beispielsweise amsi.dll – und servieren stattdessen manipulierte Varianten aus, die identische Funktionen exportieren, aber die Malware-Erkennung deaktivieren. Process-Binding erweitert das Konzept auf Executables: Das Betriebssystem zeigt nach außen einen legitimen Prozess wie winver.exe an, führt aber tatsächlich cmd.exe aus. Dies umgeht Allowlists und prozessbasierte Signaturen. Silo-Binding nutzt Windows-Isolationstechnologie in Containern, um unterschiedliche Dateisystem-Ansichten innerhalb und außerhalb isolierter Umgebungen zu präsentieren – Malware erscheint dabei als vertrauenswürdige Anwendung.
Bitdefender zeigte praktische Bypässe gegen AppLocker, Windows Firewall und Sysmon, sowie das Ausführen von Invoke-Mimikatz unter gefälschter Prozessidentität. Microsoft bewertete die Schwachstellen als niedrig kritisch, da Admin-Privilegien notwendig sind. Bitdefender argumentiert jedoch, dass dies Bring-Your-Own-Vulnerable-Driver-Angriffen (BYOVD) gleichkommt – einem etablierten Post-Compromise-Evasions-Vektor. Die Forscher beschreiben diese Techniken nicht als Remote-Code-Execution-Lücke, sondern als Evasions-Mechanismen nach erfolgtem Kompromittierung.
Windows 24H2 führt einen Veto-Mechanismus für Bind-Link-Erstellung ein. Bitdefender bewertet dies jedoch als nur teilweise Mitigation: Sie ist auf neuere Systeme beschränkt, gilt nur in bestimmten Szenarien und kann umgangen werden. Die Forscher empfehlen stattdessen, das tatsächliche Zieldatei-Objekt aufzulösen statt blind dem vom Kernel zurückgegebenen Dateipfad zu vertrauen.
Quelle: www.csoonline.com · Erschienen 15. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.