AMSI, ETW und PPL bilden das unsichtbare Sicherheitsfundament von Windows — wer diese Mechanismen versteht, versteht, wie moderne Endpoint-Security wirklich funktioniert.
AMSI Internals & Bypass-Kette — vom Scan bis zur Umgehung
AMSI wurde mit Windows 10 eingeführt und ist keine eigenständige Schutzlösung, sondern eine Schnittstelle: Scripting-Engines (PowerShell, JScript, VBScript, .NET 4.8+, Office VBA) senden ihren Code vor der Ausführung an die registrierte Antimalware-Lösung. Die Architektur: Die amsi.dll wird in jeden Prozess geladen, der AMSI nutzt. Die Funktion AmsiScanBuffer() nimmt den zu scannenden Puffer entgegen, übergibt ihn an den registrierten AMSI-Provider (z. B. Windows Defender über MpOav.dll), und gibt ein Ergebnis zurück: AMSI_RESULT_CLEAN, AMSI_RESULT_DETECTED oder AMSI_RESULT_NOT_DETECTED. Der Angriffspunkt: Jeder Schritt in dieser Kette kann manipuliert werden.
- Memory Patching — der klassische Bypass: Der direkteste Ansatz: Die ersten Bytes der
AmsiScanBuffer-Funktion inamsi.dllwerden im Speicher überschrieben — typischerweise mitxor eax, eax; ret(Return AMSI_RESULT_CLEAN). Varianten: AmsiOpenSession Patching — statt der Scan-Funktion wird die Session-Initialisierung manipuliert, sodass nie ein gültiger Scan-Context entsteht. AmsiInitialize Patching — AMSI wird bereits bei der Initialisierung gestört. Erkennung: Integrity Monitoring — regelmäßiger Vergleich der im Speicher geladenenamsi.dllmit der Datei auf der Festplatte. ETW-ProviderMicrosoft-Antimalware-Scan-Interfacemeldet Scan-Ergebnisse — wenn plötzlich alle Scans „clean“ sind, ist das verdächtig. - Reflection-basierte Bypasses (.NET): In .NET-Prozessen (PowerShell) kann über Reflection auf interne, nicht-öffentliche Felder zugegriffen werden: Das
amsiContext-Feld derAmsiUtils-Klasse wird aufIntPtr.Zerogesetzt — AMSI glaubt, nicht initialisiert zu sein, und überspringt den Scan. Alternativ: DasamsiInitFailed-Feld wird auftruegesetzt — jede Scan-Anfrage wird mit „AMSI nicht verfügbar“ beantwortet. 2026-Trend: Microsoft hat viele bekannte Reflection-Strings in die AMSI-Signaturdatenbank aufgenommen — Angreifer nutzen jetzt Obfuskation (String-Splitting, XOR-Encoding, Base64-Varianten) oder Hardware Breakpoints. - Hardware Breakpoint Bypass — die eleganteste Methode: Ein Hardware Breakpoint wird auf die
AmsiScanBuffer-Funktion gesetzt (über Debug-Register DR0-DR3). Wenn die Funktion aufgerufen wird, wird ein Exception Handler ausgelöst, der den Rückgabewert (RAX-Register) aufAMSI_RESULT_CLEANsetzt und die Ausführung am Return-Instruction-Pointer fortsetzt. Vorteil: Kein Speicher-Patching — dieamsi.dllbleibt unverändert, was Integrity-Checks umgeht. Erkennung: Äußerst schwierig — nur über Kernel-Level-Monitoring der Debug-Register möglich (z. B. über einen eigenen Kernel-Treiber, derGetThreadContextüberwacht). - CLR Hooking & Rogue AMSI Provider: Fortgeschrittene Techniken: CLR Profiler — ein bösartiger CLR-Profiler (per Umgebungsvariable
COR_PROFILER) wird geladen, bevor AMSI initialisiert wird, und manipuliert die .NET-Runtime direkt. Rogue AMSI Provider — der Angreifer registriert einen eigenen AMSI-Provider (per COM-Registrierung), der alle Scans als „clean“ meldet und höhere Priorität hat als der legitime Provider. Verteidigung: COM-Registrierung überwachen (Sysmon Event 12/13 auf AMSI-Provider-Registry-Keys), COR_PROFILER Umgebungsvariable per GPO blockieren.
ETW-Architektur & Blinding — die Telemetrie-Quelle aller EDR-Produkte
Event Tracing for Windows (ETW) ist das zentrale Telemetrie-Framework von Windows — und die Hauptdatenquelle für alle EDR-Produkte. Die Architektur: ETW Provider (über 1.100 in Windows) generieren Events — jedes Windows-Subsystem hat seinen eigenen Provider. ETW Controller erstellen Tracing-Sessions und verbinden Provider mit Consumern. ETW Consumer (EDR-Sensoren, Sysmon, Performance Monitor) empfangen und verarbeiten die Events. Die kritischsten Provider für Security: Microsoft-Windows-Kernel-Process (Prozesserstellung), Microsoft-Windows-Kernel-File (Dateizugriffe), Microsoft-Windows-DotNETRuntime (.NET Assembly-Loading), Microsoft-Windows-DNS-Client (DNS-Anfragen), Microsoft-Antimalware-Scan-Interface (AMSI-Scans).
- ETW Patching — Telemetrie stumm schalten: Die Funktion
EtwEventWriteinntdll.dllist der zentrale Einstiegspunkt für alle ETW-Events im User-Mode. Patch: Die ersten Bytes werden mitxor eax, eax; retüberschrieben — alle ETW-Events aus diesem Prozess verstummen. Impact: Der EDR-Sensor erhält keine Events mehr von diesem Prozess — .NET-Loads, AMSI-Scans, Netzwerkverbindungen — alles unsichtbar. Variante: Selektives Patching — nur bestimmte Provider-GUIDs werden deaktiviert, sodass nicht alle Events verschwinden (weniger auffällig). Erkennung: Kernel-ETW kann nicht aus dem User-Mode gepatcht werden — Events aus Kernel-Providern fließen weiterhin. Heartbeat-Überwachung — fehlen plötzlich alle Events eines Prozesses, ist das ein kritisches Signal. - ETW Threat Intelligence Provider — Microsofts Geheimwaffe: Der
Microsoft-Windows-Threat-IntelligenceETW-Provider ist ein Kernel-Provider, der nur für PPL-geschützte Prozesse zugänglich ist. Er liefert: Speicher-Allokationen mitPAGE_EXECUTE-Berechtigungen (Shellcode-Erkennung), Virtual Memory Writes in fremde Prozesse (Process Injection), APC-Queue-Operationen (Early Bird Injection), Kernel-Mode-zu-User-Mode-Callbacks. Dieser Provider ist der Grund, warum EDR-Produkte als PPL laufen müssen — nur PPL-Prozesse können ihn konsumieren. Ein Angreifer, der PPL umgeht, verliert auch Zugang zu diesem Provider nicht — er kann ihn aber über Kernel-Manipulation (BYOVD) deaktivieren. - Autologger & Tracing Session Manipulation: Windows startet ETW-Sessions automatisch über Autologger (Registry:
HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger). Angriff: Der Angreifer deregistriert den Autologger für den Security-relevanten Provider — nach dem nächsten Reboot fehlt die Telemetrie. Alternativ: Session-Limit-Angriff — Windows erlaubt maximal 64 ETW-Sessions gleichzeitig. Der Angreifer erstellt 64 leere Sessions — der EDR-Sensor kann keine neue Session mehr starten und erhält keine Telemetrie. Verteidigung: Autologger-Registry-Überwachung per Sysmon Event 12/13, ETW-Session-Count-Monitoring via Performance Counters. - Kernel-ETW vs. User-ETW — die Verteidiger-Strategie: Die entscheidende Erkenntnis: User-Mode-ETW (Events aus
ntdll.dll) kann vom Angreifer im eigenen Prozess manipuliert werden — aber Kernel-Mode-ETW (Events aus dem Windows-Kernel direkt) kann aus dem User-Mode nicht gepatcht werden. Strategie: Verlassen Sie sich für kritische Detections auf Kernel Callbacks und Kernel-ETW-Provider statt auf User-Mode-Hooks. Kombinieren Sie Sysmon (nutzt Kernel-Callbacks) mit ETW Threat Intelligence (Kernel-Provider) und Netzwerk-Telemetrie (NetFlow/Zeek) für eine Angriffsfläche, die der Angreifer nicht aus einem einzelnen Prozess heraus vollständig blinden kann.
PPL & Kernel-Schutz — die letzte Bastion
Protected Process Light (PPL) ist ein Windows-Schutzmechanismus, der bestimmte Prozesse vor Manipulation schützt — selbst durch Administratoren und SYSTEM-Konten. Ein PPL-Prozess kann nur von einem Prozess mit gleicher oder höherer Schutzebene geöffnet werden. Die Hierarchie: Protected (WinSystem) → Protected (WinTcb) → PPL (WinTcb) → PPL (Antimalware) → PPL (Windows). EDR-Sensoren laufen als PPL (Antimalware) — das macht sie immun gegen Process Termination, Memory Reading, DLL Injection und Handle-Manipulation durch normale Prozesse — auch durch Administratoren.
- PPL-Bypass via BYOVD — Kernel schlägt PPL: PPL wird im Kernel durchgesetzt (in der
EPROCESS-Struktur). Wer Kernel-Lese-/Schreibzugriff hat (über einen verwundbaren, signierten Treiber), kann dasProtection-Feld in derEPROCESS-Struktur des EDR-Prozesses auf0setzen — der PPL-Schutz ist deaktiviert. Tools: PPLdump (liest geschützte Prozesse), PPLKiller (entfernt PPL per BYOVD), EDRSandblast (kombiniert BYOVD + Kernel-Callback-Removal + PPL-Bypass). Microsoft-Gegenmassnahme: Hypervisor-Protected Code Integrity (HVCI) verhindert das Laden unsignierter Kernel-Code — aber verwundbare signierte Treiber können trotzdem geladen werden. - LSASS-Schutz — Credential Guard & RunAsPPL:
lsass.exe(Local Security Authority Subsystem Service) speichert Anmeldeinformationen im Speicher — das Hauptziel für Credential Dumping (Mimikatz). Schutzebenen: RunAsPPL — LSASS läuft als PPL, nur signierte und vertrauenswürdige DLLs können geladen werden. Aktivierung:HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RunAsPPL = 1. Credential Guard — die sensibelsten Credentials (NTLM-Hashes, Kerberos-TGTs) werden in einer Virtualization-Based Security (VBS) Enclave isoliert — selbst mit Kernel-Zugriff kann der Angreifer sie nicht lesen. 2026-Standard: Windows 11 Enterprise aktiviert Credential Guard standardmäßig — Mimikatz funktioniert auf modernen Systemen nicht mehr ohne BYOVD + VBS-Bypass. - Virtualization-Based Security (VBS) — der Hypervisor als Schutzschild: VBS nutzt den Hypervisor (Hyper-V), um eine isolierte Speicherregion zu schaffen, auf die selbst der Windows-Kernel keinen Zugriff hat. Komponenten: HVCI (Hypervisor-Protected Code Integrity) — verhindert unsigned Kernel-Code, Credential Guard — isoliert Credentials, Kernel Data Protection (KDP) — schützt kritische Kernel-Datenstrukturen vor Manipulation. Angreifer-Perspektive: VBS ist die härteste Nuss — ein VBS-Bypass erfordert einen Hypervisor-Escape oder Firmware-Level-Angriff (UEFI-Rootkit). Stand 2026 sind öffentlich bekannte VBS-Bypasses extrem selten und werden für sechs- bis siebenstellige Beträge auf dem Vulnerability-Markt gehandelt.
- Verteidigung — Integrity Monitoring Stack: Die ideale Verteidigungsarchitektur für AMSI/ETW/PPL-Integrität: Ebene 1: WDAC mit strikter Treiber-Blocklist (BYOVD-Prävention). Ebene 2: HVCI aktiviert (verhindert unsigned Kernel-Code). Ebene 3: Credential Guard + LSASS als PPL. Ebene 4: Sysmon mit Konfiguration für Registry-Überwachung (AMSI-Provider, ETW-Autologger), Driver-Load-Events (Event 6), Process-Access-Events (Event 10 für LSASS-Zugriff). Ebene 5: Custom Sigma-Regeln für AMSI-Bypass-Patterns, ETW-Session-Anomalien, PPL-Statusveränderungen. Ebene 6: Purple-Team-Tests mit Tools wie AtomicRedTeam (T1562.001, T1562.006) zur Validierung der Erkennung.
Sie benötigen Unterstützung?
AMSI, ETW und PPL richtig konfiguriert schützen Ihre Endpunkte vor fortgeschrittenen Angriffen. Wir implementieren WDAC-Policies, aktivieren HVCI und Credential Guard, konfigurieren Sysmon für Integrity Monitoring und führen Purple-Team-Tests durch.
Security & Firewall ansehen →
