Beskyt din PC mod KASLR-omgåelsestrusler på kerne-minde

Windows-kernen beskytter din PC mod malware, men nye KASLR-bypass-trusler udnytter sårbarheder i ældre systemer og Windows 11 24H2. Her er metoder til at lukke sikkerhedshullerne.

Windows-kernen forbinder din PCs hardware til operativsystemet. Dens standard sikkerhed gør det ekstremt vanskeligt for malware at trænge ind. Alligevel udnytter en ny type KASLR-bypass trusler LOLDrivers og cache-timing for at omgå højeste adgangsrettigheder. Selvom de retter sig mod ældre systemer, har disse angreb for nylig vist sig at påvirke Windows 11 24H2, hvilket eksponerer kernelhukommelsen. Her er hvordan du kan lukke disse sidste sikkerhedshuller.

Hvorfor KASLR-bypass trusler kræver din opmærksomhed

Windows-kernen kontrollerer adgangen til systemressourcer som hukommelse, CPU og tilsluttede enheder. For at beskytte det bruger Windows Kernel Address Space Layout Randomization (KASLR), som randomiserer hukommelsesplaceringer. At omgå det er meget vanskeligt, hvilket gør det hårdere for kernel-niveau malware at slippe ind.

Imidlertid blev en HVCI-kompatibel driver, eneio64.sys, brugt til at omgå KASLR på Windows 11 24H2 i juni 2025. enios64.sys falder ind under kategorien Living off the Land (LOLDrivers), som kan kompromitteres med det, der kaldes en “Low Stub”-metode.

I denne metode bruger malware-forfattere gætterier og hukommelsesscanning for at afdække basehukommelsesadressen på din PC. At omgå kernen er en gateway til virkelige angreb, og detektionsudfordringerne indikerer et højt niveau af trusselsvurdering.

Du kan søge efter sådanne drivere i System32-mappen. Hvis du ikke finder dem, er det et godt tegn, da det betyder, at disse drivere ikke blev installeret eller er blevet fjernet.

Et andet udnyttelse, der blev brugt i maj 2025, udnyttede cache-timing til at omgå hele KASLR-sikkerhedsmekanismen. Her målte angribere adgangstider til potentielle kerneladresser inden for et “0xfff”-område uden at kræve rettigheder som SeDebugPrivilege.

Selvfølgelig var denne sidekanalangreb primært rettet mod Windows 10-systemer og ældre Windows 11 versioner (21H2, 22H2, 23H2). Derfor anbefaler vi Windows 11-brugere at migrere til 24H2 eller højere. Hvis du har problemer med 24H2-kompatibilitet, har vi prøvet og testet løsninger, du kan bruge til at opgradere glat.

Få styr på LOLDrivers for at forhindre KASLR-bypass trusler

Siden Windows 11 24H2 er kernesikkerheden blevet styrket yderligere med SeDebugPrivilege. Alligevel har malware-forfattere i 2025 begyndt at udnytte KASLR-bypass-teknikker gennem LOLDrivers for at få adgang til 24H2-versionen af Windows 11.

For at finde ud af, om din PC har systemdrivere, der kræver opmærksomhed, skal du åbne PowerShell i forhøjet tilstand og skrive:

Get-WindowsDriver -Online | Where-Object {$_.OriginalFileName -match "sys"} | Format-Table OriginalFileName, ProviderName

Når listen er udfyldt, kan du holde øje med LOLDrivers, hvis du modtager et tip. Der er dog mange eksempler på LOLDrivers, såsom MsIo64.sys, nt3.sys eller VBoxTap.sys. For at finde dem, skal du tjekke en universel liste over sådanne drivere.

Microsoft opretholder en opdateret liste over blokerede eller forældede drivere inklusive LOLDrivers. Du kan downloade dem som en XML-fil og søge efter specifikke, såsom enio64.sys, ved at bruge:

Get-WindowsDriver -Online | Where-Object {$_.OriginalFileName -match "eneio64.sys"}

Den detaljerede metode ovenfor sikrer, at din enhed er fri for sårbare LOLDrivers, der kan forårsage en KASLR-bypass. En enklere måde at anvende denne blokliste på Windows 11/10 er at åbne Windows-sikkerhed -> Enhedssikkerhed -> Kernisolationsdetaljer og sikre, at Hukommelseseintegritet er aktiveret.

KASLR-bypass-teknikker ligner Winos 4.0 malware. Begge er vedholdende, og payloaden leveres i en kæde. At verificere de digitale signaturer af installatører og aktivere beskyttelser i Windows-sikkerhedsappen beskytter dig mod sådanne trusler.

Forhindre KASLR-omgåelser i Windows 10 ved at håndhæve SeDebugPrivilege

Sidekanalangreb som cache-timing er en anden vigtig kilde til KASLR-bypass-trusler. Kerneladresser.

lekkes, når angribere bruger forskellige teknikker til at manipulere kernelhukommelsen direkte uden at have SeDebugPrivilege, hvilket har været et strengt krav siden Windows 11 24H2.

Men selvom du bruger Windows 10 eller en ældre version af Windows 11, kan du håndhæve SeDebugPrivilege. Det er en simpel systemjustering, der gør din Windows-kernel immun over for gissespil.

På en Windows 10/11 Pro/Enterprise enhed, brug Kør-kommandoen, skriv secpol.msc. Dette åbner vinduet Lokale Sikkerhedspolitikker. Gå til Lokale politikker -> Brugerrettighedstildeling. Dobbeltklik på Debug programmer.

Hvis Debug programmer er aktiveret for en bestemt gruppe brugere, såsom Administratorer, behøver du ikke at gøre noget. Ellers klik på Tilføj bruger eller gruppe for at aktivere det i listen.

Klik på Kontroller navne. Når du har tilføjet de andre brugernavne på din PC, klik på OK, og derefter Anvend -> OK på den tidligere skærm.

Hvis du er Windows 10/11 Home-bruger, kan du ikke få adgang til de Lokale Sikkerhedspolitikker på dit system. I så fald skal du åbne Registreringseditor ved at skrive regedit. Gå derefter til

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Hvis det ikke eksisterer, skal du tilføje en ny nøgle kaldet Lsa. Højreklik for at oprette en REG_SZ værdi kaldet SeDebugPrivilege. Ændr værdien til Administrators. Husk at sikkerhedskopiere din registreringsdatabase, før du laver denne ændring.

For at håndtere trusler fra malware på kernel-niveau, såsom KASLR bypass-teknikker, er det vigtigt at forhindre installation af drivere, som Windows Sikkerhed ikke ønsker, du skal installere. Hvis du har et sjældent behov for at installere usignede drivere, så følg vores tips. Microsoft frigiver ofte opdateringer for at adressere nyopdagede sårbarheder. Det er selvfølgelig vigtigt at holde din PC opdateret og migrere til den nyeste version af Windows.