OSK-Hack - Gefahr für Windows 7

Es existiert ein Weg, mit dem sich jeder Benutzer, der Zugriff auf den Windows-PC und eine beliebige Windows-7-Installations-DVD besitzt, zum Administrator machen kann - ohne, dass er dazu ein Passwort des betreffenden Rechners kennen muss. Dabei spielt es auch keine Rolle, ob nun ein Windows 7 Ultimate mit einer Home-Premium-DVD oder ein Windows 8 in der Development Preview mit einer Windows-7-Enterprise-Scheibe attackiert wird: Einzig die Hardware-Plattform - x86 oder x64 - muss dabei identisch sein.

Einbruch in 10 Minuten

Die Grundlage der hier beschriebenen Lücke ist überraschenderweise die Bildschirmtastatur (osk.exe), die auf jedem aktuellen Windows-System zu finden ist. Sie kann als - wenn auch geringer - Schutz vor so genannten Keyloggern, die Tastatureingaben mitschneiden, zum Einsatz kommen.

Aber auch bei einer regulären Anmeldung an einem Windows-System kann die Bildschirmtastatur durch die Eingabehilfen aktiviert werden. Hier kommt der entscheidende Faktor ins Spiel, der den Einbruch in das System überhaupt erst ermöglicht: Die Bildschirmtastatur wird in diesem Fall vom Windows-System mit den Rechten des privilegierten Nutzers SYSTEM gestartet.

Der Trick bei diesem Einbruch besteht darin, das Programm osk.exe durch die Eingabeaufforderung (cmd.exe) zu ersetzen. Dabei werden dann die erhöhten Zugriffsrechte der Bildschirmtastatur an die Eingabeaufforderung übergeben und können vom Angreifer dafür genutzt werden, einen zusätzlichen Benutzer in der Gruppe der Administratoren anzulegen.

Damit dieser zusätzliche Benutzer auf dem Computer beim nächsten regulären Login nicht auffällt, weil ein neues Benutzerkonto nämlich standardmäßig auf dem Login-Schirm zu sehen ist, wird dieses Konto über eine kleine Modifikation in der Registry aus diesem Schirm ausgeblendet. Der Angreifer besitzt dann auf dem System einen eigenen Admin-Account, von dem der rechtmäßige Besitzer des Computers nichts weiß.

Schritt 1 Reparatur ist angesagt

Natürlich müssen gewisse Voraussetzungen erfüllt sein, damit dieser Angriff klappen kann. Die wichtigste ist dabei der direkte Zugang zu dem entsprechenden System. Ein weiterer sehr guter Grund dafür, genau zu kontrollieren, welche Personen zu welchem Zeitpunkt Zugang zu einem Rechner bekommen. Eine weitere Vorbedingung ist ein aktuelles Windows-Installationsmedium.

Jedes dieser Medien bietet dem Anwender die Möglichkeit, ein eventuell beschädigtes Windows-System auf der Festplatte zu reparieren. Auch Windows PE, das zusätzlich bei der Windows-Installation angelegte Miniatur-Betriebssystem, verfügt über die Reparaturfunktionen, ist jedoch für den OSK-Hack ungeeignet. Der PC muss mit der Boot-DVD gestartet werden.

Dazu muss häufig die Boot-Reihenfolge im BIOS des Systems verändert werden. Wurde das BIOS so konfiguriert, dass der Rechner immer zuerst von der Festplatte startet und hat der Anwender sein BIOS zusätzlich mit einem Passwort geschützt, so wird es wiederum schwerer, diesen Angriff auszuführen.

Startet der Rechner von der DVD, so wird der Angreifer natürlich keine Neuinstallation von Windows durchführen. Er wird das erste Dialogfenster Windows installieren noch mit Weiter quittieren. Im zweiten Dialogfenster wird er aber nicht Jetzt installieren, sondern die Computerreparaturoptionen im unteren, linken Fensterbereich auswählen.

Dann analysieren die Systemwiederherstellungsoptionen die lokalen Festplatten und suchen nach dort vorhandenen Windows-Installationen. Findet das Programm mehrere Windows-Installationen auf dem Computer, so muss der Anwender das gewünschte Windows in der Auswahlliste markieren. Dabei bleibt die obere Option Verwenden Sie Wiederherstellungstools... ausgewählt.

Schritt 2 Die Umbenennung

Hat der Angreifer vom passenden Boot-Medium gestartet, so erscheint die Auswahl der Systemwiederherstellungsoptionen. Hier kann er die Eingabeaufforderung ganz unten in der Auswahl starten und auf der Kommandozeile nun Befehle eingeben um Systemdateien umzubenennen. Das ist ein entscheidender Teil des Angriffs: Üblicherweise ist ein derartiges Umbenennen von Systemdateien unter Windows nicht möglich. Aber die Eingabeaufforderung in den Systemwiederherstellungsoptionen besitzt die dazu nötigen Zugriffsrechte und so kann die ausführbare Datei für die Eingabeaufforderung mit dem Namen der Bildschirmtastatur versehen werden.

Schritt 3 Reboot

Danach wird der Computer über Neu starten wie gewohnt gebootet. Im Anmeldedialog von Windows ist dann unten links in der Ecke das blaue Symbol Erleichterte Bedienung zu sehen. Es erscheint das Dialogfenster Erleichterte Bedienung mit der Auswahl Text ohne Tastatur eingeben (Bildschirmtastatur).

Wird diese Auswahl vorgenommen, so erscheint nach der von uns vorgenommenen Manipulation nun nicht mehr wie von Microsoft geplant die Bildschirmtastatur, sondern die Eingabeaufforderung, die nun mit den hohen Rechten des SYSTEM-Kontos arbeitet. Der Fehlertext, dass kein Meldungstext für die Meldungsnummer 0x8 gefunden werden konnte, darf an dieser Stelle einfach ignoriert werden.