Ein Restrisiko besteht auch dann, wenn man selber praktisch alles richtig macht, darin, dass es irgendwem gelingt bei einer normalerweise vertrauenswürdigen Quelle einzudringen und deren Software/Updates zu kompromittieren. Oder Zugriff auf die Repositories zu erlangen und Malware dort einzuschleusen. Also sogenannte „Supply-Chain-Angriffe“.
Und das kommt immer mal wieder vor, da gibt es ja schon einige Vorfälle in den letzten Jahren. Letzter Vorfall dieser Art betraf soweit ich das mitbekommen habe Bitwarden, es kam ja aber in der Vergangenheit auch schon bei Browserherstellern dazu, dass mit Malware verseuchte Updates über die integrierte Updatefunktion automatisch verteilt wurden.
An dieser Stelle bringt einen dann auch die stets zitierte „Brain.exe“ nichts, es sei denn, man interpretiert das so, dass man automatische Updates generell nie macht und immer vorher genau begutachtet.
Aus meiner Sicht habe ich die Echtzeitüberwachung des Defenders für genau solche Szenarien. Ist zwar alles andere als garantiert, dass der das, vor allem wenn die Malware neu ist, dann stoppen kann, aber zumindest ist es eine Chance.
Ein großer Teil wird schon dadurch geblockt, dass der Defender unbekannten, unsignierten Executables einen Riegel vorschiebt. Schaffen es die Entwickler hingegen auch, dass man von ihnen das Signaturzertifikat erbeutet, wird es halt schwieriger.
Dann hat man nämlich über offizielle Updatemechanismen verteilte Malware, die mit einer korrekten Signatur versehen ist, und von den üblichen Update-Hintergrunddienste womöglich auch noch mit Adminrechten ausgeführt wird, da sie ja in den Programme-Ordner installieren müssen.
Ist halt immer wie man mit Ratschlägen umgeht.
