Microsoft Defender erkennt den Tor Browser als Trojaner und entfernt ihn vom System

 (deform.co)
1 Punkte von GN⁺ 2023-10-03 | 1 Kommentare | Auf WhatsApp teilen
  • Das in Windows 10/11 standardmäßig integrierte Microsoft Defender meldet laut zahlreichen Nutzerberichten den aktuellen Tor Browser fälschlich als Schadsoftware vom Typ "Win32/Malgent!MTB"
  • Der Tor Browser ist freie Open-Source-Software, die über onion routing anonymen Internetzugang ermöglicht
  • Die aktuelle Fehlklassifizierung wird vermutlich durch eine neue heuristische Erkennungsmethode verursacht, die Trojaner identifizieren soll, die Tor zur Verschleierung ihrer Aktivitäten missbrauchen; dabei markiert Defender jedoch Tor selbst als bösartig
  • Heuristische Erkennung identifiziert verdächtiges Verhalten anhand vordefinierter Regeln und Algorithmen und bringt im Unterschied zur klassischen signaturbasierten Erkennung die Möglichkeit von False Positives mit sich
  • Das Tor-Projekt empfiehlt, bei einer Installation von der offiziellen Website die Warnung als Fehlalarm zu behandeln und per Ausnahmeliste sowie Wiederherstellung aus der Quarantäne zu reagieren

Aktuelle Lage

  • Windows-Nutzer melden derzeit in größerem Umfang, dass das in Windows 10 und 11 standardmäßig integrierte Antivirenprogramm Microsoft Defender den aktuellen Tor Browser als Schadsoftware "Win32/Malgent!MTB" erkennt
  • Der Tor Browser ist freie Open-Source-Software, die mithilfe von onion routing anonymes Surfen im Internet ermöglicht und ein wichtiges Werkzeug zum Schutz der Online-Privatsphäre ist

Analyse der Ursache des Fehlalarms

  • Fachleute gehen davon aus, dass der Fehler auf eine neue heuristische Erkennungsmethode von Microsoft Defender zurückzuführen ist
    • Diese Methode wurde entwickelt, um Trojaner zu erkennen, die Tor zur Verschleierung ihrer Aktivitäten nutzen; Defender markiert dabei jedoch nicht nur die Trojaner, sondern Tor selbst als bösartig
  • Heuristische Erkennung ist ein Verfahren, das verdächtige Aktivitäten anhand vordefinierter Regeln und Algorithmen identifiziert
    • Sie unterscheidet sich von der signaturbasierten Erkennung, die auf einer Datenbank bekannter Schadsoftware basiert
    • Sie kann bei der Erkennung neuer Bedrohungen wirksam sein, verursacht jedoch häufig False Positives

Empfohlene Maßnahmen

  • Das Tor-Projekt rät dazu, zu prüfen, ob der Browser von der offiziellen Website installiert wurde
    • Wurde er aus einer offiziellen Quelle heruntergeladen, sollte die Defender-Warnung als Fehlalarm betrachtet werden
  • Die Entwickler empfehlen, Tor zur Ausnahmeliste (exclusion list) der Microsoft-Schutzsoftware hinzuzufügen
    • Falls Defender die Funktion von Tor beeinträchtigt hat, wird empfohlen, "tor.exe" aus der Quarantäne wiederherzustellen
  • Zum Zeitpunkt der Veröffentlichung hat Microsoft zu diesem Problem keine offizielle Stellungnahme abgegeben

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2023-10-03
Meinungen auf Hacker News

  • Ich habe früher im Anti-Malware-Team gearbeitet, und in diesem Zusammenhang gab es zwei umstrittene Punkte.
    Erstens ist es viel schwieriger als gedacht, zu definieren, was als Malware gilt. Die Grenze zwischen lästiger und bösartiger Software ist unscharf, und auch Security-Tools können im Namen des Datenschutzes Verhaltensweisen zeigen, die bösartige Software nutzt, um ihre Spuren zu verbergen.
    Zweitens geht es um False Positives. Wir haben uns wirklich bemüht, False Positives zu vermeiden, etwa indem wir mit bekannten legitimen Binaries testeten, ob sie fälschlich erkannt werden, und wir fürchteten False Positives mehr als False Negatives.
    Ich denke, das Microsoft-Anti-Malware-Team hatte heute einfach einen schlechten Tag und hat nicht böswillig gehandelt.

    • Ich glaube auch nicht, dass böse Absicht dahintersteckte, und es wird auch nichts aus dem System entfernt, wie der Clickbait-Titel nahelegt.
      Nutzer können die Entfernung verhindern, und das Team empfiehlt außerdem: „Fügen Sie Tor zur Ausschlussliste der Microsoft-Schutzsoftware hinzu und stellen Sie die in Quarantäne verschobene tor.exe wieder her, falls Defender das Verhalten von Tor beeinträchtigt hat.“ Das wirkt ausreichend vernünftig.
    • Besonders amüsant ist, wenn Anti-Malware-Tools 4k-Intros oder noch kleinere Demoscene-Werke anschlagen lassen.
      Die Leute, die so etwas machen, feilen an jedem Byte und packen Musik und 3D-Grafik in eine einzelne ausführbare Datei, die kleiner ist als mehrere HN-Beiträge. Wenn danach noch Platz für Malware bliebe, wäre das absurd.
      Der Grund, warum solche Dinge oft als Malware erkannt werden, ist meist, dass sie Laufzeitkompression und diverse Tricks zum Platzsparen verwenden; solche Techniken sind in normaler Software selten, bei Malware aber häufig. Malware-Scanner könnten zwar Dinge wie crinkler oder kkrunchy unterstützen, aber das ist wohl zu nischig, als dass man sich darum kümmern würde.
    • Könnte Anti-Malware auch rechtlich haftbar werden? Ich frage mich zum Beispiel, ob man wegen Verleumdung verklagt werden könnte, wenn man eine Software als Malware kennzeichnet.
    • Es wurde gesagt, dass eine Malware-Definition, die alle zufriedenstellt, schwierig ist, aber es gibt auch eine einfache Definition: Liefert sie dem Nutzer einen Wert, oder handelt sie gegen die Interessen des Nutzers? Ersteres ist keine Malware, Letzteres ist Malware.
      Nach dieser Definition könnte natürlich auch Windows selbst als Malware gelten.
      Wegen einer anderen Antwort hier, die Verleumdung erwähnt hat, werden wohl häufig Kategorien wie „potenziell unerwünschtes Programm“ verwendet.
    • Keine böse Absicht? Windows Defender markiert KMS Tools als Malware-Trojaner.

  • Das war bereits in der Vergangenheitsform ein Fall von „wurde markiert“: https://forum.torproject.org/t/torbrowser-12-5-6-no-longer-f...
    „Mit der neuesten Signaturdatenbank (1.397.1910.0) wird tor.exe von Windows Defender nicht mehr als Trojaner eingestuft.“

    • Nur weil das Auto am Ende vom Fußgänger heruntergerollt ist, heißt das nicht, dass es keine Nachricht wert ist.
      Wenn die Berichte stimmen, gab es eine massenhafte Entfernung von Tor Browser, und der Schaden ist bereits entstanden. Viele Datenschutz- und Sicherheitsfunktionen wurden deaktiviert, waren nicht nutzbar, einige werden nicht wieder installiert werden, und zum Zeitpunkt der Neuinstallation entstehen zusätzliche Schwachstellen.
      Schon die Demonstration, dass Microsoft so etwas leicht tun kann, ist sowohl für diejenigen interessant, die nicht wollen, dass so etwas passiert, als auch für diejenigen, die eine solche Fähigkeit haben möchten.
      Außerdem hat Microsoft damit im Grunde aktiv einen konkurrierenden Webbrowser entfernt; in der Vergangenheit wurde das Unternehmen bereits wegen subtiler Tricks im Umfeld konkurrierender Browser verwarnt.

  • Ich hasse Windows Defender wirklich. Jedes Mal, wenn wir Updates für ein relativ kleines Videospiel veröffentlichen, das wir entwickeln, werden sie häufig auf den Rechnern der Spieler markiert und entfernt.
    Dann müssen wir die Datei bei Microsoft einreichen, damit das False Positive aufgehoben wird. Lustig ist, dass in der Anleitung steht, man solle das komplette Paket mit allen für die Ausführung der Anwendung nötigen Dateien hochladen, in der Praxis aber reicht es, das False Positive zu melden und nur die .exe hochzuladen; am nächsten Tag hebt es jemand auf. Wirklich zermürbend.

    • Und danach muss man sich mit all den anderen Antiviren-Anbietern herumschlagen. Wirklich zermürbend.
      Zur Orientierung gibt es auch diese nützliche Liste. Leider wird sie immer älter: https://github.com/hankhank10/false-positive-malware-reporti...
    • Oder man kauft ein EV-Code-Signing-Zertifikat für etwa 800 Dollar pro Jahr, um die Binaries von „Malware bis zum Beweis des Gegenteils“ in „harmlos bis zum Beweis des Gegenteils“ zu verwandeln. Im Grunde ist das Schutzgelderpressung.
    • Das sind die Kosten, wenn man auf dieser Höllenplattform Geschäfte macht.

  • Noch beunruhigender ist, dass die Antivirenbranche trotz EDR-Systemen nicht wie der Dodo ausgestorben ist.
    EDR gibt Warnungen auf Basis von Verhaltensanalysen aus, statt etwas nur deshalb in Quarantäne zu schicken, weil es zufällig ein Byte-Muster in einer Binärdatei gesehen hat.

    • Während der Entwicklung wurde mein Programm einmal fälschlich als Virus erkannt. Das war eine wirklich bizarre Erfahrung: Wenn ich in Visual Studio auf „Ausführen“ klickte, sah es so aus, als sei der Build erfolgreich, aber es gab keine ausführbare Datei, also konnte nichts gestartet werden. Was war da los?
      Wie sich herausstellte, war der base64-Decoder, den ich selbst geschrieben hatte, wohl ausreichend ähnlich zu einem base64-Decoder, der in irgendeinem Trojaner verwendet wurde. Dieser Trojaner schien ebenfalls mit derselben Version von MSVC gebaut worden zu sein, und nachdem ich die Funktion decode_base64 entfernt oder ausreichend neu geschrieben hatte, verschwand die Erkennung zuverlässig.
      Seitdem glaube ich, dass diese Virensignaturen ziemlich willkürlich sind.
    • „Nur weil ein Byte-Muster in einer Binärdatei gesehen wurde“ ist wirklich seltsam.
      Ich habe eine App gebaut, die von mehreren Antivirenprogrammen erkannt wurde, und viele davon hatten eine Funktion zum Einreichen von Fehlalarmen, woraufhin die Erkennungen schließlich entfernt wurden. Da kann unmöglich eine manuelle Prüfung stattgefunden haben, also können böswillige Akteure wahrscheinlich dasselbe tun.
      Solche Fehlklassifizierungen sind extrem häufig und scheinen bestimmte Entwickler stärker zu treffen. Zum Beispiel wurde mein Go-Binary als ein bestimmter Trojaner/Wurm erkannt, und bei anderen Go-Projekten auf GitHub war das offenbar ebenfalls üblich.
    • Ich hasse das wirklich.
      Meine kleinen Hobbyprojekte werden von solchen Machine-Learning-Antiviren-Systemen erwischt, und als Entwickler scheint es kaum Möglichkeiten zu geben, dagegen vorzugehen.
      Auch wenn der Umfang klein ist, verursacht es Probleme und Verwirrung in der Nutzer-Community.
    • Solche Systeme sind noch nutzloser als Hash-/Pattern-Matching-Scanner. Früher hatte ich CrowdStrike auf meinem Gerät, und es hätte vermutlich nicht einmal reagiert, wenn über eine RPC-Schnittstelle Root-Zugriff offengelegt worden wäre.
    • Es wäre schön, wenn Hardwarehersteller keine schmutzigen Tricks anwenden würden, um Geräte zu steuern, aber die Realität sieht anders aus.
      Die Lüftersteuerungssoftware eines meiner Laptops benötigt immer noch einen Open-Source-Kernel-Treiber; weil jemand ihn einmal zum Einrichten eines EFI-Bootkits verwendet hat, muss ich die Sperrliste für anfällige Treiber nun dauerhaft deaktiviert lassen.

  • Ich sage nicht, dass es hier so ist, aber in den Händen eines autoritären Regimes könnten Systeme wie Microsoft Defender, Play Protect und Gatekeeper dazu genutzt werden, Kritiker, Dissidenten und verfolgte Gruppen aufzudecken und zum Schweigen zu bringen.
    Undurchsichtige, von Unternehmen erzwungene Systeme, die mithilfe von Verschlüsselung und OCSP aus der Ferne erlauben oder verweigern können, was Nutzer auf ihren eigenen Geräten ausführen, wären für Machthaber, die ihre Bevölkerung unterdrücken wollen, äußerst begehrenswert.

  • Vor ein paar Monaten hatte ich damit ein unterhaltsames Erlebnis. Ich habe ein kleines WPF-GUI als internes Firmentool gebaut, das nichts weiter tat, als Daten aus einer XML-Datei zu lesen und ein paar Bytes über einen seriellen Port auszugeben.
    Ich habe den Build gezippt und an das Produktionsteam geschickt, woraufhin Windows sich weigerte, ihn zu öffnen. Es bestand nachdrücklich darauf, dass es so etwas wie ein Trojaner sei. Zum Glück gab es eine Option, Defender zu ignorieren und weiterzuarbeiten.
    Zur Überprüfung habe ich den Build bei Microsoft eingereicht, und er kam als vollkommen sauber zurück. Vielen Dank auch.
    Defender-Warnungen erscheinen bei allem, was nicht signiert ist, und Defender-Warnungen erscheinen auch bei signierten Dingen. Offenbar muss man ein paar Hundert Dollar im Monat zusätzlich für ein „echtes“ Signaturzertifikat zahlen. Heißt das, das Zertifikat, für das ich bereits bezahle, ist nicht sicher genug, um Defender-Warnungen zu deaktivieren?
    Klingt ganz nach einem Erpressungsgeschäft.

  • Zur Info: Auch VirusTotal hat einige Sandbox-Erkennungen. [1] Einige Unternehmen zahlen dafür, VirusTotal-Daten abzurufen. Microsoft musste diese Ergebnisse wahrscheinlich auch in Defender überschreiben.
    [1] - https://www.virustotal.com/gui/file/88c33af6f1963eb94683be1f...

  • Gestern habe ich dabei geholfen, zu „untersuchen“, warum man sich nicht mehr auf einer entfernten WinSvr2012R2-VM mit öffentlicher IPv4 einloggen konnte.
    Wie erwartet war sie gehackt worden, aber lustig war, was der Möchtegern-Hacker installiert hatte: Er hatte RDPGuard installiert, um „seine“ Maschine vor anderen Möchtegern-Hackern zu schützen.
    Vor ein paar Jahren war mIRC ein beliebter Bestandteil von Windows-„Rootkits“, weil Steuerungs- und Kommunikationsfunktionen eingebaut waren.
    Tor wird ebenfalls von Malware verwendet, um sicher zu kommunizieren, daher ist es nicht verwunderlich, dass es Antivirenprogramme triggern kann. Details siehe [0].
    https://news.ycombinator.com/item?id=37740584

  • Ich nutze Windows 11 auf allen Computern hier und starte den Tor Browser auf Desktop und Laptop, habe dieses Verhalten aber nicht gesehen.
    Tatsächlich habe ich den Tor Browser auch heute Morgen ausgeführt. Im schlimmsten Fall halte ich das für ein temporäres Problem, das behoben wurde.

  • Das Problem mit MDE EP2 scheint zu sein, dass signaturbasierte Definitionen ohne ausreichende Tests an alle Flotten aller Kunden ausgerollt werden.
    Das führte einmal dazu, dass sämtliche App-Verknüpfungen gelöscht wurden, wodurch Endnutzer glaubten, alle Apps seien entfernt worden.
    Wenn sich Malware auf einer Maschine befindet, ist sie bereits kompromittiert; man sollte also ein neues Image aufspielen, statt sie durch sogenannte „Behebung“ selektiv und willkürlich zu reparieren. Eigentlich sollte sich gar keine Malware auf der Maschine befinden, weil die Ausführung beliebiger Software aus nicht vertrauenswürdigen Quellen verhindert wird.
    Signaturbasierte Anti-Malware ist die letzte Verteidigungslinie und reaktive Sicherheit, nachdem eine Kompromittierung bereits stattgefunden hat; oft verhindert sie die Kompromittierung einer Maschine nicht.
    Ein weiteres Problem ist, dass Malware zu neu oder nicht weit genug verbreitet ist, sodass nur für einen Teil davon Signaturen existieren.
    Das letzte Problem ist die fälschliche Einstufung als „Malware“ bei Dingen, die keinen Schaden anrichten, aber etwas tun, das bestimmten Gruppen missfällt. Dazu gehören Fernsteuerung, Passwortwiederherstellung und illegale Keygens.