TrustedInstaller-Prozess: Was er ist, wie er funktioniert und warum Sie ihn nicht deaktivieren sollten

Wenn Sie jemals versucht haben, eine Windows-Datei zu löschen oder zu ändern und eine Meldung erhalten haben, dass Sie etwas benötigen TrustedInstaller-BerechtigungenSie sind nicht allein. Diese Windows-Komponente wirft viele Fragen auf, da sie scheinbar „alles sperrt“, aber in Wirklichkeit ist sie ein wichtiger Bestandteil zum Schutz des Systems.

Gleichzeitig bemerken einige Benutzer, dass ihr PC langsamer läuft, sie sehen, dass TrustedInstaller.exe verbraucht viel Arbeitsspeicher. oder CPU, oder sie entdecken Ordner mit diesem Besitzer bei der Untersuchung potenzieller Malware. Sicherheitsexperten und Penetrationstester stoßen auch auf TrustedInstaller, wenn sie Dienste wie beispielsweise die CPU oder die CPU stoppen möchten. Windows Defender oder Systembinärdateien für Penetrationstests modifizieren.

Was ist der TrustedInstaller-Prozess und wozu dient er?

TrustedInstaller.exe ist die ausführbare Datei für den Windows Modules Installer-Dienst., eine offizielle Microsoft-Komponente, die Teil dessen ist, was als Windows-Ressourcenschutz (WRP)Dieser Mechanismus ist dafür verantwortlich, wichtige Systemdateien, Registrierungsschlüssel und andere kritische Ressourcen vor unbefugten Änderungen zu schützen.

Seine Hauptaufgabe ist die Verwaltung der Installation, Änderung und Entfernung von Windows-Komponenten: Windows-UpdatesNeue Systemfunktionen, Patches, Kernel-DLL-, -Sys- und -EXE-Dateien usw. Wenn Windows eines dieser geschützten Elemente aktualisieren muss, startet es den TrustedInstaller-Dienst, nimmt die notwendigen Änderungen vor und beendet ihn anschließend in der Regel wieder.

Wenn Sie sich die Eigenschaften vieler Systemdateien ansehen, beispielsweise des klassischen Taschenrechners in älteren Windows-Versionen, werden Sie feststellen, dass Der Dateibesitzer ist TrustedInstaller.Selbst wenn Sie Administrator sind oder Zugriff als SYSTEM haben, können Sie diese Dateien nicht löschen oder ersetzen, ohne vorher die von diesem Dienst auferlegten Schutzmechanismen zu durchlaufen.

TrustedInstaller fungiert auch als spezielle „Dienstgruppe“ des SystemsIntern verwendet Windows ab Windows Vista die Funktion „Dienstsicherheitskennung“ (Service SID), um jedem Dienst eine Sicherheitskennung wie „NT SERVICE\Dienstname“ zuzuordnen. Im konkreten Fall von TrustedInstaller wird die Gruppe als „NT SERVICE\TrustedInstaller“ angezeigt, wenn Sie Berechtigungen oder Zugriffskontrolllisten (ACLs) mit Tools wie PowerShell und Get-Acl abfragen.

Dank dieser synthetischen Gruppen kann jeder Dienst sehr detaillierte Berechtigungen für Dateien, Registrierungsschlüssel, Pipes und andere sicherheitsrelevante Objekte erhalten, ohne dass immer die generischen Konten des Systems verwendet werden müssen. TrustedInstaller verfügt über noch höhere Berechtigungen als SYSTEM. über die Ressourcen, die es kontrolliert, genau so, dass es das System ohne Einschränkungen aktualisieren oder reparieren kann.

Die Beziehung von TrustedInstaller zu Windows Update und Windows Defender

In der Praxis kommt TrustedInstaller hauptsächlich dann zum Einsatz, wenn das System benötigt wird. Windows-Updates installieren oder geschützte Komponenten ändernSie werden diese Funktion üblicherweise während eines Windows-Updates, beim Hinzufügen oder Entfernen von Windows-Funktionen oder während bestimmter Systemreparaturvorgänge sehen.

Ein sehr anschauliches Beispiel ist die Wechselwirkung mit Windows Defender (WinDefend-Dienst und MsMpEng.exe-Prozess). Windows Defender ist der in Microsoft integrierte Virenschutz und verfügt über einen eigenen Dienst in der Dienstgruppe „NT SERVICE\WinDefend“. Für ein Update des Virenschutzes ist es mitunter erforderlich, den Dienst vorübergehend zu beenden und Engine-Dateien wie die mpengine.dll zu ersetzen.

Wenn Sie die Zugriffssteuerungslisten (DACLs) des Windows Defender-Dienstes untersuchen, werden Sie feststellen, dass Nur der Dienst selbst und TrustedInstaller haben die vollständige Kontrolle. Um WinDefend zu stoppen und zu modifizieren, ist dies nicht möglich. Weder die Administratorgruppe noch das SYSTEM-Konto können WinDefend mit Standardberechtigungen direkt stoppen. Dies dient der Stärkung der Systemsicherheit gegen Schadsoftware, die versucht, den Virenschutz zu deaktivieren.

Für offensive Sicherheitsexperten stellt dies eine interessante Herausforderung dar. Viele Penetrationstester stellen fest, dass selbst mit Administrator- oder sogar SYSTEM-Rechten Sie können MsMpEng.exe nicht stoppen. Weil es sich um einen geschützten Prozess (PPL) handelt. Sein Token lässt sich selbst mit Debug-Berechtigungen (SeDebugPrivilege) nicht ohne Weiteres öffnen, was den Diebstahl seines Sicherheitskontexts erschwert.

Im Gegensatz dazu ist der TrustedInstaller.exe-Prozess, obwohl er kritisch ist, Es ist in vielen Versionen nicht als PPL geschützt. Dies wird als „Feature“ und nicht als Fehler von Windows betrachtet, da es anderen Systemkomponenten die Arbeit mit dem Prozess mithilfe bestimmter APIs erleichtert, sofern sie über die entsprechenden Berechtigungen (z. B. SeDebugPrivilege) verfügen, um den Prozess zu öffnen und mit seinen Token zu arbeiten.

Token, Gruppen und Rechteausweitung im Zusammenhang mit TrustedInstaller

Innerhalb der Windows-Sicherheit, ein Ein Zugriffstoken ist das Objekt, das einen Prozess oder Thread identifiziert. Wenn Sie mit geschützten Ressourcen interagieren möchten, ist dies vergleichbar mit dem Vorzeigen Ihres Ausweises am Eingang eines Nachtclubs: Er gibt Auskunft darüber, wer Sie sind, welcher Gruppe Sie angehören, welche Berechtigungen Sie haben und welche Integritätsstufe Sie besitzen (Niedrig, Mittel, Hoch, System usw.).

Dieses Token speichert Daten wie zum Beispiel Eigentümer, Benutzer, die Gruppen, zu denen der Prozess gehörtDie Berechtigungsliste und die Integritätsstufe. Wenn ein Prozess versucht, auf eine Datei oder einen Dienst zuzugreifen, vergleicht das System seine Tokeninformationen mit den Zugriffssteuerungslisten (DACLs) des Objekts, um zu entscheiden, ob die Aktion zugelassen wird.

Ein entscheidendes Detail bei Privilege-Escalation-Angriffen ist, dass ein Prozess mit ausreichenden Berechtigungen sich als jemand anderes ausgeben oder dessen Token duplizierenWenn es Ihnen gelingt, den Zielprozess mit Rechten wie PROCESS_QUERY_INFORMATION oder ähnlichen zu öffnen, und Ihr Konto über Berechtigungen wie SeDebugPrivilege verfügt, können Sie ein Handle seines Tokens erhalten und es verwenden, um Ihren Prozess mit der Identität des anderen Prozesses agieren zu lassen (Identitätswechsel oder DuplicateToken).

Das Problem für den Angreifer besteht darin, diesen Punkt zu erreichen. Wenn Sie versuchen Öffnen Sie das primäre Token des TrustedInstaller-Prozesses Als Administrator werden Sie feststellen, dass dies nicht ausreicht: Die Zugriffskontrolllisten (ACLs) für dieses Token gewähren Ihnen keine Berechtigung zum Lesen oder zur Identitätsimitation. Nur mit SYSTEM-Rechten können Sie ordnungsgemäß auf das TI-Token zugreifen und es verwenden.

Daher beinhalten viele Eskalationsstrategien zunächst den Wechsel von Administrator- zu SYSTEM-Rechten. Eine klassische Technik ist der Missbrauch von Prozessen wie beispielsweise Winlogon.exeDieses Systemkonto läuft in derselben Sitzung wie der interaktive Benutzer und verfügt über relativ liberale Zugriffskontrolllisten (ACLs) für sein Token. Als Administrator können Sie das Winlogon-Token mit Identitätswechselberechtigungen öffnen und die Berechtigungen auf Systemebene erweitern.

Sobald man im SYSTEM-System angemeldet ist und Berechtigungen wie beispielsweise aktiviert hat SeDebugPrivilegeEs ist möglich, den TrustedInstaller-Prozess (sofern er läuft) mit ausreichenden Berechtigungen (z. B. PROCESS_QUERY_INFORMATION oder sogar PROCESS_ALL_ACCESS) zu öffnen und so ein Token der TrustedInstaller-Gruppe zu erhalten. Mit diesem Token lassen sich dann Dienste wie WinDefend programmatisch beenden. Genau dies demonstrieren Sicherheitsveröffentlichungen mit Proof-of-Concept-Beweisen, die in öffentlichen Repositories verfügbar sind.

Es gibt weitere, komplexere Varianten, wie zum Beispiel Tokens fälschen, die die TrustedInstaller-Gruppe enthalten ohne sie direkt vom TrustedInstaller.exe-Prozess zu stehlen oder auf andere Zeichenketten zurückzugreifen, um SYSTEM zu erhalten, dreht sich die Grundidee immer darum, Token und ACLs zu manipulieren, um diese privilegierte Zugriffsebene zu erlangen.

Warum Sie TrustedInstaller nicht deaktivieren oder dessen Berechtigungen leichtfertig verändern sollten

Aus der Sicht eines Heimanwenders oder sogar eines Supporttechnikers ist es am wichtigsten zu verstehen, dass TrustedInstaller ist für die Stabilität und Sicherheit von Windows unerlässlich.Das Entfernen von Berechtigungen oder das Deaktivieren des Dienstes, weil er als "lästig" empfunden wird, kann dazu führen, dass das System unbrauchbar wird oder zumindest nicht mehr ordnungsgemäß aktualisiert werden kann.

Wenn Sie den Systemdateibesitzer von TrustedInstaller auf Administratoren ändern oder wenn Sie ACLs ändern und Berechtigungen erteilen Ihr Benutzer hat die volle Kontrolle über kritische Ressourcen.Sie schwächen die Schutzbarriere, die Schadsoftware und bösartige Programme daran hindert, wichtige Dateien zu ersetzen. Darüber hinaus kann das versehentliche Löschen einer geschützten .dll- oder .sys-Datei zu Bluescreens, Startfehlern oder anderen ungewöhnlichen Problemen beim Programmstart führen.

Es sollte außerdem beachtet werden, dass TrustedInstaller Teil von Windows-Ressourcenschutz (WRP)Dies verhindert unnötige Änderungen an signierten Binärdateien und Kernkomponenten. Durch Deaktivierung dieser Funktion kann das System bei Beschädigung oder unautorisierten Änderungen an diesen Dateien keine ordnungsgemäße Selbstreparatur mehr durchführen.

Im Bereich der Penetrationstests werden diese Merkmale genutzt, um reale Schwachstellen aufzuzeigen. Dies geschieht jedoch innerhalb eines kontrollierten Rahmens, in Laborumgebungen oder mit ausdrücklicher Genehmigung des Kunden. Das Nachahmen offensiver Techniken auf einem privaten oder dienstlichen PC ist keine gute Idee. ohne genau zu verstehen, was man tut, und ohne vollständige Datensicherungen zur Wiederherstellung des Systems zu haben.

Selbst in Malware-Szenarien, beispielsweise wenn Sie feststellen, dass ein scheinbar schädlicher Ordner auftaucht mit TrustedInstaller als EigentümerEs ist in der Regel sinnvoller, den Prozess zu untersuchen, der das Problem verursacht, und spezielle Anti-Malware-Tools einzusetzen, als zu versuchen, TrustedInstaller zu "töten" oder die Kontrolle über alles zu übernehmen, was damit in Berührung kommt.

TrustedInstaller, Ressourcenverbrauch und Systemverlangsamung

Eine weitere häufig gestellte Frage ist, warum der Prozess TrustedInstaller.exe plötzlich im Task-Manager erscheint. viel CPU- oder RAM-Leistung verbrauchen und führt dazu, dass der Computer eine Zeit lang sehr langsam läuft. Dies tritt üblicherweise zu dem Zeitpunkt auf, an dem Windows nach Updates sucht, diese herunterlädt oder installiert.

In den meisten Fällen ist dieser Konsumanstieg vorübergehend: TrustedInstaller arbeitet intensiv, während Änderungen an Windows-Modulen angewendet werden.Sobald der Vorgang abgeschlossen ist, normalisiert sich die Ressourcennutzung wieder. Bei Rechnern mit wenig Arbeitsspeicher oder einer stark fragmentierten Festplatte ist die gefühlte Verlangsamung während dieser Prozesse besonders deutlich spürbar.

Wenn Ihr Browser oder Ihre Anwendungen sehr langsam laufen und Sie feststellen, dass TrustedInstaller aktiv ist, sollten Sie auch den allgemeinen Zustand Ihres Systems überprüfen: Festplattenfragmentierung, Hintergrundprozesse, automatische Startprogramme und potenziellen Infektionen. Viele Drittanbieteranwendungen schreiben in die Registrierung und auf die Festplatte, was zu ungültigen Einträgen und Fragmentierung führt. Dies kann die Arbeitslast von TrustedInstaller erhöhen und den Eindruck erwecken, dass alles überlastet ist.

Um zu überprüfen, was vor sich geht, können Sie den Task-Manager öffnen mit Strg + Umschalt + Esc Überprüfen Sie die Registerkarten CPU, Arbeitsspeicher, Festplatte und Netzwerk. Wenn der Windows Modules Installer-Prozess Ressourcen verbraucht, ist er wahrscheinlich mit der Installation von Updates oder der Reparatur von Komponenten beschäftigt.

Solange keine dauerhaften Fehler auftreten und der Verbrauch nicht ohne ersichtlichen Grund stundenlang hoch bleibt, Normalerweise lässt man den Prozess einfach seinen Lauf nehmen.Das Unterbrechen von Windows-Updates mitten im Vorgang kann mehr Probleme verursachen, als es zu beheben versucht.

Wie man mit TrustedInstaller geschützte Dateien sicher handhabt

Manchmal werden Sie dazu gezwungen sein Dateien, die durch TrustedInstaller geschützt sind, werden berührt.Beispielsweise müssen Sie möglicherweise eine beschädigte DLL-Datei ersetzen, Überreste eines Programms entfernen, das gesperrte Dateien hinterlassen hat, oder bestimmte Anweisungen des technischen Supports befolgen. In solchen Fällen ist es ratsam, zunächst die integrierten Reparaturtools auszuprobieren, bevor Sie manuell eingreifen.

Eine der ersten Optionen ist, die Systemdateiprüfung (SFC)Dazu:

1) Öffnen Sie eine Eingabeaufforderung mit AdministratorrechtenKlicken Sie auf Start, geben Sie CMD in das Suchfeld ein, klicken Sie mit der rechten Maustaste auf cmd.exe und wählen Sie „Als Administrator ausführen“. Wenn es sich bei Ihrer Windows-Version um eine Werksinstallation handelt und Sie die Installations-CD nicht zur Hand haben, versucht das System, die benötigten Quelldateien zu finden.

2) Führen Sie den Befehl SFC /SCANNOW aus. Drücken Sie die Eingabetaste. Der Scan kann einige Zeit dauern, insbesondere wenn viele Dateien überprüft werden müssen. Bitte haben Sie Geduld. Windows scannt geschützte Komponenten und repariert beschädigte oder fehlende wichtige Dateien mithilfe der Kopie auf der Installations-DVD oder dem Wiederherstellungslaufwerk des Herstellers.

Sobald der Vorgang abgeschlossen ist, starten Sie Ihren Computer neu und Prüfen Sie, ob der Fehler weiterhin besteht.In vielen Fällen behebt dieser einfache Schritt Probleme mit gesperrten Dateien, kleineren Beschädigungen und Schwierigkeiten beim Versuch, Systemelemente zu ändern.

Es macht nur dann Sinn, wenn Standardwerkzeuge (SFC, DISM, Systemwiederherstellung usw.) nicht funktionieren und Sie genau wissen, was Sie tun. Manuelle Übernahme der Besitzrechte an einer geschützten Datei oder einem Ordner und die Berechtigungen so ändern, dass Umbenennen, Ersetzen oder Löschen möglich ist.

Änderung der TrustedInstaller-Besitzrechte an Administratoren: Schritte und Risiken

Wenn beim Löschen oder Ändern einer Datei die Meldung erscheint, dass Sie TrustedInstaller-Berechtigungen benötigen, können Sie den Besitzer ändern in Administratoren Um damit arbeiten zu können, ist die typische Vorgehensweise unter Windows wie folgt, vorausgesetzt, Sie verstehen die Risiken:

1) Schließen Sie die Benachrichtigung über fehlende Berechtigungen. Es sollte darauf hingewiesen werden, dass Sie TrustedInstaller-Berechtigungen benötigen, selbst wenn Sie ein Administratorkonto verwenden. Suchen Sie anschließend die Datei oder den Ordner, den Sie ändern möchten.

2) Klicken Sie mit der rechten Maustaste auf die Datei oder den Ordner. Wählen Sie anschließend „Eigenschaften“. Im sich öffnenden Fenster wechseln Sie oben zum Reiter „Sicherheit“ und klicken dann unten rechts auf die Schaltfläche „Erweiterte Optionen“.

3) In den erweiterten SicherheitsoptionenWechseln Sie zum Tab „Besitzer“. Dort sehen Sie, dass der aktuelle Besitzer TrustedInstaller ist. Klicken Sie auf „Bearbeiten“ und wählen Sie in der Liste der möglichen neuen Besitzer „Administratoren“ aus.

Wenn Sie mit einem ganzen Ordner und nicht nur mit einer einzelnen Datei arbeiten möchten, erscheint ein Fenster, in dem Sie Folgendes tun können: „Besitzer von Untercontainern und Objekten ersetzen“Wenn Sie möchten, dass alle Dateien und Unterordner den Administrator als Eigentümer haben, aktivieren Sie das entsprechende Kontrollkästchen und bestätigen Sie die Änderungen.

Klicken Sie auf „OK“, um die angezeigte Warnung zu bestätigen. Ab diesem Zeitpunkt ist die Administratorgruppe anstelle von TrustedInstaller der aktuelle Besitzer. Schließen Sie das Fenster mit einem weiteren Klick auf „OK“ und kehren Sie zur ursprünglichen Ansicht der Datei- oder Ordnereigenschaften zurück.

Wechseln Sie nun zurück zur Registerkarte „Sicherheit“ und klicken Sie auf die Schaltfläche „Bearbeiten“, um die Berechtigungen zu ändern. Wählen Sie die Gruppe „Administratoren“ aus. Aktivieren Sie in der Liste der Gruppen- oder Benutzernamen im unteren Bereich der Berechtigungen das Kontrollkästchen „Vollzugriff“ in der Spalte „Zulassen“. Übernehmen Sie die Änderungen und bestätigen Sie eventuell angezeigte Sicherheitswarnungen.

Von diesem Moment an sollten Sie dazu in der Lage sein Datei löschen, umbenennen oder ändern oder ein Ordner, der zuvor durch TrustedInstaller geschützt war. Es ist jedoch wichtig zu beachten, dass jede derartige Änderung die Systemsicherheit beeinträchtigt und das System angreifbar oder instabil machen kann. Daher sollte sie nur bei sehr spezifischen Elementen und mit vollem Verständnis des Prozesses durchgeführt werden.

TrustedInstaller und Malware: Typische Fälle und Vorsichtsmaßnahmen

Manchmal entdeckt der Benutzer verdächtige Prozesse im Task-Manager, wie zum Beispiel TextInputHost.exe oder andere Namen, die sich bei näherer Untersuchung als mit Schadsoftware oder unerwünschter Software in Verbindung stehend erweisen. Beim Versuch, die Quellordner zu löschen, stellt das System fest, dass diese durch TrustedInstaller geschützt sind. Nach dem Ändern der Berechtigungen und dem anschließenden Löschen erscheinen sie nach einem Neustart wieder.

Dass ein Ordner Die Tatsache, dass TrustedInstaller der Eigentümer ist, bedeutet nicht, dass es sich um ein legitimes Produkt handelt.Dies bedeutet jedoch nicht automatisch, dass Sie die IT einfach deaktivieren können. Sinnvoller ist es, den Prozess oder Dienst zu ermitteln, der diese Dateien neu erstellt, geplante Aufgaben, Startdienste und alle persistenten Hooks zu überprüfen, die möglicherweise Systemidentitäten verwenden oder vertrauenswürdige Komponenten missbrauchen.

Falls integrierte Tools wie Windows Defender, ein vollständiger Systemscan, SFC /scannow oder DISM /online /cleanup-image Falls sie nichts finden, ist es möglicherweise notwendig, andere spezialisierte Anti-Malware-Tools einzusetzen. USB analysieren Oder suchen Sie professionelle Hilfe. Das Deaktivieren von TrustedInstaller oder der systematische Versuch, alles mit seiner Signatur zu blockieren, kann die Situation verschlimmern und intakte Teile des Betriebssystems beschädigen.

Was man in jedem Fall vermeiden sollte, ist Den TrustedInstaller-Dienst vollständig deaktivieren Als „schnelle Lösung“ bei der Verknüpfung einer verdächtigen Datei ist es nicht ratsam, sich auf die spezifische Quelle der Malware, ihre Persistenzmechanismen und die Bereinigung des Systems mit geeigneten Tools zu konzentrieren, anstatt in den Kern des Windows-Ressourcenschutzes einzugreifen.

Das Verständnis der Rolle, die TrustedInstaller in der Windows-Sicherheitsarchitektur spielt, hilft enorm dabei, zu verstehen, warum bestimmte Dateien scheinbar unantastbar sind. warum manche Dienste nur von ihm gestoppt werden können Und warum hat Microsoft diese Komponenten so restriktiv gestaltet? Zwar experimentieren Forscher möglicherweise mit der Umgehung dieser Beschränkungen in Testumgebungen, doch bei einem Computer im täglichen Gebrauch ist es in der Regel am klügsten, diese zu respektieren und auf offizielle Reparaturmechanismen zurückzugreifen, bevor man zu riskanten Abkürzungen greift.

Verwandter Artikel:

Sie sind nicht dasselbe: Unterschiede zwischen SmartScreen, Defender und Firewall

Daniel Terrasa

Auf Technologie- und Internetthemen spezialisierter Redakteur mit mehr als zehn Jahren Erfahrung in verschiedenen digitalen Medien. Ich habe als Redakteur und Content-Ersteller für E-Commerce-, Kommunikations-, Online-Marketing- und Werbeunternehmen gearbeitet. Ich habe auch auf Websites aus den Bereichen Wirtschaft, Finanzen und anderen Sektoren geschrieben. Meine Arbeit ist auch meine Leidenschaft. Nun, durch meine Artikel in TecnobitsIch versuche, alle Neuigkeiten und neuen Möglichkeiten zu erkunden, die uns die Welt der Technologie jeden Tag bietet, um unser Leben zu verbessern.