TL;DR: in elk geval op Windows 10 wordt de blocklist van door malware misbruikte drivers niet automatisch bijgewerkt [4]. Achtergrond Op 30 sept. schreef de redactie van security.nl [1] "Kwetsbare Dell-driver gebruikt bij aanval op Nederlands luchtvaartbedrijf". Bij een aanval met een "Bring Your Own Vulnerable Driver" (BYOVD) installeert malware een legitieme, digitaal ondertekende, device driver, die -na installatie- door "minder gepriviligeerde software" misbruikt kan worden om lees- en schrijftoegang tot kernelgeheugen te verkrijgen, als een achterdeurtje dus (de kernel is de "kern" van Windows). Effectief levert dit rootkit-functionaliteit op. Nb. zelfs software gestart door Administrators heeft niet direct toegang tot het kernelgeheugen (ook niet na akkoord gaan met een UAC-prompt). De reden daarvoor zijn de beveiligingsrisico's: met onbegrensde toegang kun je o.a. beveiligingssoftware (waaronder virusscanner, tamper protection, firewall, ransomware-detectie etc.) geforceerd uitschakelen. Als het ...