Malware in mehr als 100 signierten Windowstreibern - Offline-Scan empfohlen

[harpo]

Gerade bei Heise gelesen:

Malware in über 100 signierten Windows-Treibern gefunden: Microsoft reagiert

Malware versteckt sich in 133 Windows-Treibern mit gültiger digitaler Signatur. Jetzt hat Microsoft diese blockiert und die Entwicklerlizenzen suspendiert.

www.heise.de

Es wurden wohl Zertifikate gestohlen bzw. weiter verkauft, die zur Signierung etlicher Windows-Treiber verwendet wurden, die Schad- bzw. Spionagesoftware enthielten. Diese können teilw. als Rootkits fungieren und Netzverkehr überwachen, Daten abgreifen, etc.
Microsoft hat mit Sperrlisten reagiert (anscheinend bereits seit 02.03.2023), die das Laden solcher identifizierter Treiber verhindern sollen. Man soll also unbedingt die Windows- und Defender-Updates aktuell halten (was ja sowieso immer gilt). Diese werden auch regelmäßig erweitert - hier ist demnach wohl noch nicht das Ende der Fahnenstange.

Des weiteren ist bei MS selbst zu lesen, dass man per Windows-Defender einen Offline-Scan ausführen soll, um derartige Treiber, die bereits vor dem 2. März 2023 auf's System gelangt sind, aufzuspüren und zu beseitigen:

Security Update Guide - Microsoft Security Response Center

msrc.microsoft.com

 

[albert66]

Kann jemand mal diese Sicherheitslücke für mich als scheinbar zu Dummen erklären?

Dann mache ich mal den Affen für Dich : Mir persönlich geht nicht um den IQ, der bei mir z.Zt. sowieso nach der Faustregel bei "x Grad über +25°C => IQ[25°]-x*10" ist, sondern um "Bequemlichkeit". Wenn MS meldet, daß einige Treiber per Signatur faul sein könnten und dafür Checks im Defender eingebaut wurden, dann nerve ich nicht lange meine wenigen Gehirnwindungen mit - wer wie und warum da eine Lücke oder Macke hat, sondern lasse einfach "Defender-offline" laufen (der Fix ist ja schon längst automatisch im System).

Das ist Homöopathie für Windows. Rein homöopathisch muß man nicht die ganze Homöopathie-Medizin mit Verpackung essen, sondern nur eine Pille. Für Windows heißt das: keine Neuinstallation auf fabrikneuer HD/SSD, sondern nur einen simplen Offline-Defender-Check per laufendem System. (... den man so oder so gelegentlich machen sollte.)

Gruß Peter bei 32°, IQ entsprechend ........ (der offline-Defender lief auf beiden Win10 mit 0 Funden, Resthirn ist zufrieden).

 

[bemymonkey]

Ist ja gut, ich lass' den Scan ja schon laufen (ist ja nur noch ein Rechner), aber verstehen will ich das trotzdem

 

[der_ingo]

Kann jemand mal diese Sicherheitslücke für mich als scheinbar zu Dummen erklären? Ich verpsüre nämlich noch nicht die scheinbar angebrachte Panik

Panik ist auch nicht angebracht. Eine automatische Installation solcher Treiber kann gar nicht "mal eben so" stattfinden.

Die (automatische) Installation eines Treibers ist doch in der Regel an ein im System vorhandenes Stück Hardware gekoppelt - damit wäre doch die Voraussetzung für die Malware auch, dass jemand die entsprechende Hardware gekauft hat, oder? Vielleicht irgendwelche billigen AliExpress USB Geräte?

Die Treiber werden auch eher nicht automatisch installiert. Da wird - wie üblich - der Nutzer angegriffen. Sobald der überzeugt wurde, irgendetwas mit Adminrechten auszuführen, installiert dieses dann den Treiber mit. Da er sauber signiert ist, kommen an der Stelle keine weiteren Warnungen. Und der Nutzer merkt nichts, weil er ja nur ein Spiel oder ein angeblich dringend notwendiges Update für sonstwas installiert hat.

Es ist ja nicht so, dass jetzt der Shenzen Malware Tech Inc. GeForce Treiber den offiziellen nVidia Treiber aus Windows Update raus kickt und dann beim nächsten Update Diesen ersetzt, oder?

Richtig. Das wird nicht passieren. Genauso wenig kommen solche Treiber einfach so über Windows Update. Windows Update liefert ja eben nur Treiber aus für entsprechend vorhandene Hardware.

Es muss immer noch eine Installation stattfinden. Diese muss vom Nutzer gestartet oder zumindest bestätigt werden. Dazu braucht der Nutzer Adminrechte.

 

[bemymonkey]

Danke Dir @der_ingo !

Das passt doch wieder besser in mein Weltverständnis. Wer keine unbekannten Installer laufen lässt und auch dabei auch noch die UAC Meldung (die ja soweit ich weiß bei jeder Treiberinstallation kommt - signiert oder unsigniert) bestätigt hat eher geringes Risiko - wie sonst auch immer.

Dann sollte ich hauptsächlich bei meinem Vater mal den Offline-Scan laufen lassen

 

[albert66]

Ich habe bei etlichen Installern von Liz.-Software für Endgeräte keinen Einfluß bzw. Wahl zu deren Installer. Wenn ein Treiber benötigt wird, wird der oft mitgeliefert, auf ein Link verwiesen oder auf MS-Win Automatic bei USB. Auch hier ist meine Auswahl sehr begrenzt und viel (auch seriöse) S/W generiert "unbekannter Hersteller". Ich habe viel Amateurfunksoftware und Meßgeräte-Support installiert, wo ich lediglich noch dem "Lieferanten" vertrauen kann. Wenn möglich nutze ich eh' nur "portabel" Pakete oder .zip anstelle Installer. Eine UAC Antwort, die das Produkt letztlich zuläßt ist praktisch obligatorisch.

Insofern bin ich - wenn ich nicht stundenlang über den Lieferanten baggern will - auf den Defender angewiesen. Den starte ich i.d.R. bereits über das downloaded Produkt und nach der Installation wieder über das Programmverzeichnis - normalerweise eigenes und nicht c:\.... Etwas pauschal und blöd ausgedrückt, dafür kürzer: Ich kann nicht alles kennen und ein gewisses Maß an Unsicherheit bleibt immer. Auch bekannte Produkte könnten mal gehackt werden.

Defender offline jedesmal ...... das ist mir an sich etwas übertrieben, aber einmal mehr schadet nicht. Defender online - immer, wie vor beschrieben.

Gruß Peter (inzwischen Großvater, sorry, aber dafür IT Beruf seit Steinzeit ... und meinen Enkel lasse ich sicher nicht an mein System )

 

[x230fan]

Wenn es ein namenhafter Hersteller bzw. Anbieter ist, von dem man die Treiber lädt ist das ja auch kein Thema, da gibt es ja eine gewisse Vertrauensbasis. Das können auch kleine Hersteller sein, gerade bei Nischenprodukten.

Ich sprach eher davon, dass Leute irgendwelche halbseidenen Treiber"aktualisierer" installieren oder Hardware von Aliexpress bestellen und dann aus der Produktbeschreibung einen Downloadlink für die Software anklicken... bei sowas kann ich kein Mitleid mehr haben, das ist einfach nur dumm, aber so fangen sich die Leute Schadsoftware ein.

Aber ich sehe auch nicht, warum ich etwas nochmal zusätzlich mit dem Defender scannen sollte, das macht er doch im Hintergrund ohnehin, oder? Jedenfalls hatte ich schon oft genug flasch-positive Meldungen vom Defender, wenn ich Dateien heruntergeladen habe.

Ich bin muss aber auch sagen, dass ich immer das Internet durchforste, wenn ich vor der Entscheidung stehe ob ich etwas von einem Hersteller kaufe von dem ich noch nie gehört habe, zumindest wenn es etwas ist, was in irgendeiner Weise mit dem Internet oder einem anderen Gerät verbunden wird. Sogar bei smarten Lampen.

 

[elchmartin]

Bei mir hat der offline-can auf einem Rechner angeschlagen.
Eine Rest-Komponente einer VPN-Software, welche ich allerdings nicht mehr nutze.

 

[albert66]

Aber ich sehe auch nicht, warum ich etwas nochmal zusätzlich mit dem Defender scannen sollte, das macht er doch im Hintergrund ohnehin, oder? Jedenfalls hatte ich schon oft genug flasch-positive Meldungen vom Defender, wenn ich Dateien heruntergeladen habe.

Ich bin muss aber auch sagen, dass ich immer das Internet durchforste, wenn ich vor der Entscheidung stehe ob ich etwas von einem Hersteller kaufe von dem ich noch nie gehört habe, zumindest wenn es etwas ist, was in irgendeiner Weise mit dem Internet oder einem anderen Gerät verbunden wird. Sogar bei smarten Lampen.

Ok, schließen wir Frieden . Den ersten (nicht zitierten) Teil unterschreibe ich voll.

Zum zweiten, Absatz 1: M.W. läuft der DF-Offline-Scan eben nicht automatisch im Hintergrund und ist speziell für/gegen aktiv laufende Treiber gedacht, an die der Scan nicht ohne weiteres im Betrieb heran kommt. Dafür wird runtergefahren und vor Hochfahren der Treiber gescanned. Wenn ich mich täusche, auch Großväter lernen gerne dazu .... bitte Korrektur. Mir ist allerdings im Log aufgefallen, daß ich auf dem Desktop einen Scan abgewürgt habe, der evtl. beim Restart bereits lief. Ich bin mir nicht 100pro sicher, ob MS bei diesem Update nicht von sich aus einen DF-offline-scan aktiviert hat .

Ich habe (außer dem Thinkpad) meine PCs im 24/7 Betrieb, aber ab und an (alle 2-3 Wochen) mache ich bewußt total zu, alle Systeme inklusive komplett stromlos, falls es nicht anderweitig nötig war. Mir ist das aus der Mainframe-Betreuung in Fleisch und Blut übergegangen. Es hat ab und an immer wieder mal Überraschungen gegeben, daß ein System eine Macke hatte, die sich im Betrieb heimlich eingeschlichen hatte (selten, primär H/W, S/W extrem selten) und erst bei Restart ein Bauchlandung verursachte. Nach 2-3 Wochen hat man noch einigermaßen im Blick, wo man überall die Finger drin hatte . Insofern ist ein gelegentlicher DF-offline-scan ....... ein intergalaktisches Staubkorn .... .

Absatz 2: mache ich ebenso, auch volle Zustimmung. Es hilft nur manchmal nichts. Eines meiner Probleme als Beispiel: ich nutze viele Steinzeit-Funk- und Meßgeräte, die noch eine COMx Schnittstelle haben und mir zu schade zum Austausch sind (auch eine Preisfrage zum Teil). Bei den USB-COMx Schnittstellen hat es immer wieder mit den Treibern gekracht, weil teilweise auch guten Händlern kopierte Chips untergeschoben wurden, die dann mit modifizierten Treibern korrekt liefen. Oder irgendwer wurde verkauft und neue Firmen stiegen ein - kriegt man nicht unbedingt mit. Diese Treiber warf MS per Treiberupdate wieder raus und dann ging nichts mehr (Endgerät). In Amateurfunk-Foren füllen diese Geschichten etliche Threads. Dann wurden EOL Treiber wild updated usw. Ich hatte selber mit USB-COMx Kabeln und diesen Geschichten nach der Umstellung auf Win10 immer wieder Probleme und habe letztlich Kabel weggeworfen, die unter XP und Win7 einwandfrei liefen. Die seinerzeit aufgetretenen Fehler haben so viel Zeit gekostet, bis man nachverfolgt hatte, ob jetzt Gerät, Kabel oder sonstwas kaputt ist (ist ja alles Museumszeugs, wo es mal krachen kann, was aber noch super tut), daß bei mir bei einer Treiber-Meldung wie diese hier alle Nackenhaare hochstanden und ich als erstes nach dem Update aber noch schneller als sofort dem DF-Offline-Scan gemacht habe.

Es trifft ja nicht jeden, aber mit solcher Erfahrung im Gepäck macht man liebend gerne mal einen DF-Offline-Scan und schnauft durch, wenn der ok ist. Dauert eh nicht lange und ab und zu ein Restart reinigt "die Luft im Windows" zusätzlich .

Gruß Peter

 

[x230fan]

Das mit dem Treiberscan wusste ich nicht, aber wie gesagt, bei mir sollte da auch nichts sein, habe ausschließlich Treiber von Windows selbst, Windows Update oder direkt vom Hersteller der Hardware.
Ab und zu ein Neustart ist natürlich nie verkehrt, wenn ich daheim bin läuft mein ThinkPad zwar auch durch, aber ansonsten fahre ich es für den Transport ohnehin komplett runter, sehe für mich keine großen Vorteile im Standby oder Ruhezustand, so schnell wie Windows von einer modernen SSD bootet.

Mit antiker Peripherie an modernen Rechnern kenne ich mich fast gar nicht aus, außer ein paar alten Druckern oder Scannern, die aber alle schon über USB laufen. Und diese haben in der Regel die grundsätzliche Funktionalität schon in Windows integriert.

 

[elchmartin]

Das mit dem Treiberscan wusste ich nicht, aber wie gesagt, bei mir sollte da auch nichts sein, habe ausschließlich Treiber von Windows selbst, Windows Update oder direkt vom Hersteller der Hardware.

Ich denke der Witz ist doch, dass es "Schwarze Schafe" unter den Treiberanbietern gibt, welche auch Treiber an Windows Update liefern (durften), weil digital signiert. Daher auch der hype.

 

[der_ingo]

Aber diese Treiber müssten ja für irgendein Gerät sein. Windows Update verteilt ja nicht einfach irgendwelche Treiber aus Spaß an der Freude, sondern wenn entsprechende Hardware vorhanden ist.

Aktuell werden ja einzelne chinesische Hersteller genannt. Ich wüsste nicht, was die für Hardware bauen und habe deren Namen nie vorher gehört.
Aber wer deren Hardware nicht hat, der bekäme auch deren Treiber nicht - selbst wenn diese bei Windows Update verfügbar gewesen wären.

"Hype" gibts bei solchen Meldungen meist, weil die Journaille hofft, dass das Thema Klicks bringt. Kann man jeden Tag noch einen Artikel bringen und noch eine Bilderstrecke und überall kann man schön Werbung schalten. Da quasi jeder Windows nutzt, klicken halt viele Leute die Artikel. Deswegen verbreitet sich oftmals irgendwas wild weiter, selbst wenn es oft ziemlich irrelevant ist.
In diesem Fall ist es zwar ein grundsätzliches Problem, was da beschrieben wird. Aber die tatsächlichen Auswirkungen auf die Nutzer werden doch eher gering sein.

 

[albert66]

Ich hatte das schon mal am Beispiel der USB-COMx Schnittstelle versucht zu erklären. Diese Chips werden von einigen Firmen in ihren Geräte verbaut und Treiber mitgeliefert. (OT: Ich habe gerade während des Threads einen in der Heizungssteuerung per Nah-Blitzeinschlag zerschossen bekommen. Zum Glück hat heute der Heizungsfachmann noch einen Zugang in der Fernbedienung gefunden, sonst wäre ~2000 Euro für die Steuerung fällig geworden (für Eingriffe von außen) /Ende OT). Ich kann doch nicht bei allen Geräten die ich mal am PC/Thinkpad habe, kontrollieren, welche Interfacechips und Treiber welcher Firma verbaut sind. Bei Funkgeräten sind bei den Interfaces die Treiber des Windows NICHT für das Gerät an sich , sondern für den verwendeten Interface-Chip. Meistens beschränkt sich das - nach meiner bisherigen Recherche - auf einige wenig Chip Hersteller, die auch die Zertifikate haben und von MS bedient werden (und originär mit dem Gerät als solches nichts am Hut haben). Es gibt nur leider keine Garantie, daß nicht wie bei den Medikamenten deren Generika vom Gerätehersteller Clone der klassischen Chips eingebaut werden/wurden und eigene zertifizierte Treiber mit geliefert wurden (irgendwelche extra Funktionen in der Firmware, am Typ selbst nicht ohne gezielte Suche erkennbar). Man kriegt den Unterschied zum Original beim Install nicht mit, bis auf einmal der Originalhersteller den Treiberrelease ändert, MS brav den Clonetreiber updated (erkennt den Clone nicht als Clone) und nix mehr geht.

Ich müßte jetzt auf 2020 zurück in meinen Unterlage suchen, aber genau diesen Mist hatte ich kurz nach dem upgrade Win7 - Win10 bei handelsüblichen USB-COMx Kabeln mit Derviaten, die als "Prolific"-Typen im Handel waren (nix Ebay etc.). Wenn ich per USBDeview nachsehe, was bei mir alles als Treiber für USB-Geräte läuft ....... im Moment sind nach Hausputz nur 15 verschiedene Eintrage drin (12 verschiedene Treiber, mit History der inaktiven), aber nach "Test- und Spieltagen" mit neuen Geräten hatte ich schon locker das dreifache. Wohlgemerkt: keine Flohmarkt-, Ebay-, oder sonstige wilde Dinge, primär Funk- und Meßgeräte, GPS, Kamera, OBD-Adapter fürs Auto, usw. Es wäre uferlos, wenn ich da jedesmal nachforsche, wer was und wie hergestellt hat. Ein großer Teil sind klassische Firmen, aber ab und an stehen im Treiber (wenn ich mal nachgeschaut habe) irgendwelchen Namen aus China, Korea oder Hinterpusemuckel drin, MS zertifiziert, ........ soll ich dann jedesmal Recherche machen ?? Dafür ist doch dann wirklich der Defender (auch offline) da.

Ich habe das so ausführlich gepostet, weil ich ziemlich erstaunt üder die Meinung bin, daß z.B. (@der_ingo nicht persönlich gemeint, einfach als Beispiel zitiert, weil so öfter gepostet wurde)

Ich wüsste nicht, was die für Hardware bauen und habe deren Namen nie vorher gehört. Aber wer deren Hardware nicht hat, der bekäme auch deren Treiber nicht - selbst wenn diese bei Windows Update verfügbar gewesen wären.

Etwas boshaft zurück gefragt: habt "ihr" außer dem Ladegerät eigentlich nie und nimmer nichts weiteres am PC/Thinkpad angeschlossen ?? Falls doch, wißt "ihr" aus dem FF, wer die Interface-Treiber dazu geschrieben hat ?? Ich gebe ja zu, etwas exotisch in Richtung Altertumsgeräte zu arbeiten, aber bei neuem Krimskrams mit IPhone-Inerfaces, IoT, .... wird vermutlich doch das gleiche Spiel laufen. Ich werde nicht neurotisch bei solchen Pressemeldungen, aber der Defender kriegt dann von mir schon einen Schubs, auch mal offline.

Gruß Peter

 

[elchmartin]

Und wie ich auch oben schrieb können Treiber auch für Netzwerk-Software sein, in meinem Falle war es ja ein VPN mit Firmensitz in der EU.

Ich prüfe natürlich auch nicht bei jedem wifi-Stick, wer den Treiber anbietet. Und da hab ich doch so 3-4 direkt von aliexpress.

Klar, wer zB ein thinkpad kauft und nix ansteckt, ist einigermaßen sicher.

 

[fakiauso]

Ganz ähnlich wie der_ingo sehe ich das eigentlich auch.

Grundsätzlich werden zwar die Firmen genannt, aber weder wird erwähnt, welche Komponenten die überhaupt mit ihren Treibern bestücken noch welche Hardware betroffen sein könnte. Das wäre für einen Anwender neben dem Offline-Scan die vielleicht wichtigste Information, mit der sich etwas anfangen liesse. So muss man sich auf den Scan und die Sperrliste von Windows verlassen.

Das es sich dabei um Treiber für "altes" Zeugs wie von albert66 beschrieben handeln dürfte, schliesse ich nahezu aus. Da solche Schadsoftware auf möglichst große Reichweite abzielt, wird es sich dabei eher um irgendwelchen Massenkram handeln.

Das Hauptproblem ist m.E. auch hier, dass es eben keine absolute Sicherheit gibt. Das fängt damit an, dass die Entwicklerzertifikate gestohlen wurden (Datenbank-Hack, physischer Zugriff oder der Entwickler selbst Teil des Netzwerks?) und diese Certs dann überall eingebunden sein können. Das muss ja nicht einmal ein echter Treiber sein, sondern das Rootkit sich nur als solcher ausgeben. Der Hauptpunkt ist doch dabei, dass sich die Software dazu eignet, höhere Rechte zu bekommen und damit administrativ im System unterwegs zu sein, dieses zu manipulieren und Daten abzugreifen. Das ist dasselbe Prinzip wie bei verwanzten Apps trotz Signatur in den Stores oder bereits ab Werk verseuchten Firmwares, Android-Images, manipulierten ISO usw. Da wird immer wieder etwas durchkommen.

Bei den entdeckten Malware-Treibern konnte Sophos zwei Haupttypen ausmachen. Zum einen fielen einige von ihnen in die Kategorie „Endpoint Protection Killer“. Zum anderen fanden sie Treiber mit Rootkit-ähnlichen Fähigkeiten, die unbemerkt im Hintergrund liefen. Letztgenannte Treiber verfügten sogar über Netzwerküberwachungsfunktionen, die es ermöglichen, den ein- und ausgehenden Internetverkehr zu überwachen.

 

[albert66]

Da solche Schadsoftware auf möglichst große Reichweite abzielt, wird es sich dabei eher um irgendwelchen Massenkram handeln.

Ich lasse es mit dem Kommentar dann mal gut sein. Im Prinzip trifft mein Beispiel (USB/COMx) unter anderem fast alle Geräte, die intern analog arbeiten und dann nach außen netzfähig (digital) werden. Das ist "Massenkram", weil viele Meß- und Steuerungsgeräte erst einmal analog Daten erfassen. Mich hat es oft verblüfft, wenn man in der H/W neuer Geräte die Daten eines RS232/USB (Protokoll - und Spannungs-)Wandler Chips erkennt, bzw. ein als solcher bekannter Typ sich per USB-Treiber meldet (per normalem USB-Kabelanschluß). Ich bin etwas "dressiert" auf diese Typen, weil viele meiner Geräte noch Original RS232 Schnittstelle haben und ich die per externem Wandler (im USB-Kabel) betreibe. Es ist ja nur als Beispiel erwähnt, weil auf dem Gebiet sehr viele Fakes und Clone in der Vergangenheit liefen (nicht nur Schadsoftware). Da ist die Welt mit striktem Zertifizierungszwang um einiges besser geworden.

Gruß Peter

 

[fakiauso]

Das ist "Massenkram", weil viele Meß- und Steuerungsgeräte erst einmal analog Daten erfassen.

Für Dich wahrscheinlich schon, insgesamt sehe ich das trotzdem eher als Nische. Da könnte ich mir eher einen gefakten generischen Maustreiber o.ä. vorstellen, wenn es um Masse geht. Daher kam der Punkt von mir, dass es besser wäre, die betroffene Hardware zu benennen als irgendwelche Unternehmen, die diese Zertifikate genutzt haben. Ein weiterer Kritikpunkt ist eben der, dass mit der Zertifizierung zwar der Flurschaden geringer wird, es aber trotzdem kein Allheilmittel ist, wenn nicht die ganze Kette sicher ist oder wie hier die Besitzer der Zertifikate kompromittiert wurden. Meist ist so ein "Datenreichtum" ja erst der Anfang der wirklichen Kompromittierung.

Einen großen Angriffsvektor sehe ich da z.B. bei IoT, wo auch viel Halbseidenes im Umlauf ist, über irgendwelche Hersteller-Server läuft und vieles an Daten wie WLAN-Passwörter völlig unnötig erhoben wird, um den Krempel erst einmal in Betrieb zu nehmen. Das Zeug wird uns auch noch viel Freude bereiten.

Sollte es sich um einen gezielten Angriff auf irgendwelche wissenschaftliche oder andere kritische Infrastruktur handeln, wäre m.E. das Vorgehen anders. Das hier ist eher wie bei Spam, wo es um breites Streuen in der Hoffnung auf eine relevante Anzahl an Treffern geht.

Das viel identische Hardware unter zig Labeln wieder erscheint und oft nur die Hardware-Kennung anders ist, ist ja auch nicht wirklich neu und das lässt sich in so einem Fall dann ausnutzen.

 

[der_ingo]

Etwas boshaft zurück gefragt: habt "ihr" außer dem Ladegerät eigentlich nie und nimmer nichts weiteres am PC/Thinkpad angeschlossen ?? Falls doch, wißt "ihr" aus dem FF, wer die Interface-Treiber dazu geschrieben hat ??

Zumindest habe ich keinerlei Hardware von den entsprechend zu diesem Problem genannten Firmen hier.

Und wie ich auch oben schrieb können Treiber auch für Netzwerk-Software sein, in meinem Falle war es ja ein VPN mit Firmensitz in der EU.

Diese kommt aber nicht über Windows Update.

Ich prüfe natürlich auch nicht bei jedem wifi-Stick, wer den Treiber anbietet. Und da hab ich doch so 3-4 direkt von aliexpress.

Auch die verbauen die üblichen Chips von Realtek und Co. Und für diese kommen entsprechende Treiber über Windows Update.
Du müsstest also einen WLAN Stick mit einem völlig unbekannten Chipsatz von genau einem der betroffenen chinesischen Unternehmen haben. Und genau dieses müsste tatsächlich bisher Treiber an Microsoft geliefert haben.


Noch mal zusammengefasst:
- die schadhaften Treiber können nicht über Windows Update kommen, da es keine Treiber zu verbreiteter Hardware sind und WU nicht einfach irgendwelche Treiber an irgendwen ausliefert.
- die schadhaften Treiber kommen mit irgendwelcher Software, die man aus meist dubiosen Quellen installiert.
- für die Masse der Leute ist das Problem also überhaupt kein Problem und hektische Aktionen sind unnötig.
- natürlich kann man trotzdem mal einen Offline Scan mit Defender oder anderen Tools machen. Schadet nicht. Ist halt für die große Masse Zeitverschwendung.