Fachartikel

Gefahrenquelle Windows Script Host

Cyberkriminelle verschicken Ransomware-Infektionen oft als JavaScript-Anlagen – versteckt in ZIP-Dateien. Aktiviert der Nutzer dann eine entsprechende Datei, verwendet Windows den Microsoft Windows Script Host (WScript.exe) zur Ausführung des Programms. Der Anwendung sind standardmäßig eine ganze Reihe von Dateitypen zugeordnet, etwa JS, JSE, VBE, VBS, WSF und WSH. Am häufigsten kommen Java- und Visual-Basic-Skripte vor. Unser Fachartikel zeigt, dass IT-Administratoren bei jedem dieser Dateitypen genau evaluieren sollten, ob sie ihn wirklich benötigen.
Bei Java- und Visual Basic-Skripten sollte beim Administrator die rote Fahne nach oben schnellen.
Die einzigen, die tatsächlich einen guten Grund haben können, den Windows Script Host (WSH) zu benutzen, sind Systemadministratoren und Programmierer. Sie sollten dann aber über die möglichen Gefahren der Skriptdateien Bescheid wissen. Doch selbst für diese Experten empfiehlt es sich, die Programmverknüpfungen auf die Einstellung "Fragen, womit die Datei geöffnet werden soll" oder "Mit Notepad öffnen" zu ändern, sofern dies ihre Arbeitsprozesse nicht zu sehr einschränkt.

Optionen im Umgang mit WScript
Welche Option im generellen Umgang mit WScript die beste ist, hängt davon ab, wie oft ein Nutzer den Windows Script Host verwendet und ob der Administrator dem Anwender vertraut beziehungsweise zutraut, dabei die richtigen Entscheidungen zu treffen. Diese Möglichkeiten gibt es:

  • WScript komplett ausschalten, damit keine Skripte ausgeführt werden.
  • Die Programmverknüpfung auf "Fragen…" umstellen. Das heißt, der Benutzer wird jedes Mal gefragt, mit welchem Programm er eine bestimmte Art von Datei öffnen möchte.
  • Die Programmverknüpfung auf "Notepad" ändern. Das heißt, die betroffenen Dateien werden mit dem Notepad geöffnet und der Benutzer kann sich das Skript ansehen.
Dabei muss natürlich nicht für jede Datei-Endung die gleiche Lösung eingestellt werden. Nutzen die Mitarbeiter zum Beispiel in der Firma ein eigenes JavaScript und benötigen daher keine anderen Skript-Sprachen, kann der Administrator alle Endungen außer JS-Endungen auf "Fragen…" umstellen. Tipp für Profis: Benennen Sie das eigenen JavaScript in JVS um und ändern Sie anschließend die JS-Endung auf "fragen…" ab, denn diese Endung wird am meisten missbraucht.
WScript vollständig deaktivieren
Um WScript komplett abzuschalten, reicht es aus, folgenden Registry-Wert hinzuzufügen:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings]
"Enabled"=dword:00000000
Wenn der Nutzer anschließend versucht, WScript zu öffnen, wird ihm die Nachricht "Script Host deaktiviert, wenden Sie sich an Ihren Administrator" angezeigt.

Ändern der Standardprogramme
In den Einstellungen können Administratoren einige Änderungen vornehmen, um das Risiko einer Infektion zu verringern. Zur Modifikation der Standardprogramme gibt es mehrere Möglichkeiten. Die entsprechenden Systemeinstellungen befinden sich unter "Systemsteuerung / Programme / Standardprogramme" oder in den Windows-10-Einstellungen unter "System / Standard-Apps / Standard-Apps nach Datei"


Bei einschlägigen Dateiendungen empfiehlt es sich, bei den Standardprogrammen den Windows Script Host
durch das Notepad zu ersetzen.


Ist nur ein System zu bearbeiten, dann ist es am einfachsten, eine Datei mit der gewünschten Endung zu suchen oder zu erstellen. Nun klicken Sie mit einem Rechtsklick auf die Datei und wählen unter "Öffnen mit" in der Liste den Punkt "Standardprogramm auswählen…". Um die Verknüpfung auf das Notepad zu lenken, wählt Sie jetzt "Notepad" aus und setzt einen Haken bei "Dieses Programm (oder App) für alle *-Dateien verwenden". Wenn es mehrere Rechner zu bearbeiten gilt, kann ein Registry-Skript viel Zeit sparen.

Programmverknüpfung ändern
Etwas komplizierter wird es, wenn eine vollständige Blockierung nicht möglich ist und der Administrator WSH nur teilweise deaktivieren will. Das Beispiel unten zeigt auf, wie etwa eine Verknüpfung für JS- und VBS-Dateien geändert werden muss, damit REG-Dateien mit dem Notepad geöffnet werden.
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\
FileExts\.js\UserChoice]
"Progid"="REG_SZ", "Applications\notepad.exe"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\
FileExts\.vbs\UserChoice]
"Progid"="REG_SZ", "Applications\notepad.exe"
Je nach Bedarf lassen sich beliebig viele Endungen hinzufügen.

Alternative: AppLocker einsetzen
Die Nutzung von AppLocker – oder im Falle älterer Steuerungssysteme von sogenannten "Richtlinien für Softwareeinschränkung (SRP)" – ist zwar komplexer, bietet aber auch einige Vorteile. Solange sich keine Windows-XP- oder Windows-7-Home-Rechner im Netzwerk befinden, ist AppLocker stets die bessere Wahl:

  • Der Administrator bestimmt, welche Apps laufen dürfen und muss nicht befürchten, dass eine App ohne sein Wissen verwendet wird.
  • Er kann dabei den Herausgeber beschränken damit zum Beispiel nur eigene Skripte verarbeitet werden.
  • Fehlermeldungen lassen sich so anpassen, dass Benutzer, wenn zum Beispiel der Zugang zu einer Webseite verweigert wird, an den Administrator verwiesen werden.
  • AppLocker-Regeln können auf einen bestimmten Benutzer beziehungsweise eine Benutzergruppe angepasst werden.
  • Der Überwachungsmodus ermöglicht das Testen der Auswirkung einer Richtlinie, bevor der Administrator die Richtlinie implementiert.
AppLocker lässt sich auch mit der PowerShell steuern. Dazu lädt der Administrator mit import-module applocker die entsprechenden Cmdlets . Eine Liste aller verfügbaren Cmdlets verschafft get-command *applocker*.

Fazit
Es gibt mehrere Methoden, um die Gefahren von Skripten zu minimieren. Einige davon sind oben beschrieben. Auch erfahrene Administratoren sollten die potentielle Bedrohung, die von WScript ausgeht, nicht aus den Augen verlieren und entsprechende Schutzmaßnahmen ergreifen.
1.02.2017/ln/Pieter Arntz, Malware Analyst bei Malwarebytes

Nachrichten

Automatisches Zusatz-Backup [22.06.2017]

Mit dem neuen Sync&Share-Service 'TeamDrive Point in Time Recovery' stellt TeamDrive Systems ein neues Tool für Datensicherheit vor. Von TeamDrive überwachte und in die Cloud synchronisierte Ordnerinhalte werden jetzt zusätzlich zur Synchronisation zur vollwertigen Datensicherung. [mehr]

Sichere Anwendungen lassen Exploit-Kits vertrocknen [21.06.2017]

Unit 42, das Anti-Malware-Team von Palo Alto Networks, beobachtet einen signifikanten Rückgang bei Exploit-Kits. Auffällig ist dies besonders beim zuvor häufig genutzten 'Rig'. Warum sind Exploit-Kits nicht mehr so aktiv wie früher und was ist in der globalen Landschaft der Cyberbedrohungen als nächstes zu erwarten? Diesen Fragen ist Palo Alto Networks nachgegangen. [mehr]

Tipps & Tools

Neues Training: Docker und Linux-Container [6.06.2017]

Von Red Hat bis Microsoft reden heute alle von Docker. Dessen Erfolg beruht dabei vor allem auf einem Aspekt: Docker hat eine Infrastruktur für Container-Images entwickelt, die es ermöglicht, Images von anderen Anwendern aus einem Repository zu laden und sie für eigene Zwecke anzupassen. In unserem Training im Herbst erfahren Sie in München und Dortmund, worum es bei Docker geht, wie Container aufgebaut sind, wie Sie eigene Container bauen und mit anderen zu Anwendungen verbinden. [mehr]

Template auf XenServer korrekt anzeigen [4.06.2017]

Wenn Benutzer in unserer Citrix-Infrastruktur versuchen, eine Windows-Server2016-VM auf XenServer 7.1 anzulegen, kann es passieren, dass das dazugehörige Template nicht gefunden und somit nicht in der Auswahlliste angezeigt wird. Dieses Problem lässt sich mit einem kurzen Befehl aus der Welt schaffen. [mehr]

Buchbesprechung

Datenschutz-Grundverordnung

von Niko Härting

Anzeigen