Windows-Schwachstelle: Datei öffnen reicht für NTLM-Hash-Diebstahl

Eine neu entdeckte Zero-Day-Lücke betrifft alle gängigen Windows-Versionen von Windows 7 bis Windows 11. Angreifer können NTLM-Hashes abgreifen, indem sie Nutzer dazu bringen, eine speziell manipulierte Datei im Explorer anzuzeigen.

Kritische Sicherheitslücke in Windows entdeckt

Es gibt bei dieser Sicherheitslücke nur einen Haken: Es gibt zwar einen Patch, der ist aber inoffiziell - also nicht von Microsoft. Diese brisante Zero-Day-Schwachstelle bedroht potenziell Millionen von Nutzern von Windows 7 bis zum neuesten Windows 11-Version sowie die Server-Versionen von 2008 bis 2022.

Die Schwachstelle ermöglicht es Angreifern, NTLM-Anmeldeinformationen von Nutzern abzugreifen. Da ist auch schon der Haken, denn zum einen gilt dieser Anmelde-Standard als veraltet und zum anderen reicht es für einen erfolgreichen Angriff aus, wenn der Nutzer eine präparierte Datei lediglich im Windows Explorer anzeigen lässt. Beides zusammen macht die Schwachstelle nur noch schwerwiegender. Das Öffnen eines freigegebenen Ordners, das Anschließen eines USB-Sticks oder das Öffnen des Download-Ordners, reicht zur Ausnutzung, wenn dort zuvor eine manipulierte Datei abgelegt wurde.


Wie Günter Born in seinem Blog berichtet, haben Sicherheitsforscher von Acros Security diese Schwachstelle entdeckt und an Microsoft gemeldet. Details zur genauen Funktionsweise werden noch zurückgehalten, um das Risiko einer Ausnutzung zu minimieren. Microsoft hat bislang noch keinen offiziellen Patch bereitgestellt.

In Ermangelung eines offiziellen Updates von Microsoft haben die Forscher von Acros Security einen inoffiziellen Micropatch entwickelt. Dieser wird über den sogenannten 0patch-Agenten verteilt und soll die Schwachstelle effektiv schließen. Der Patch ist aktuell kostenlos verfügbar und bleibt es, bis Microsoft eine offizielle Lösung bereitstellt.

Die Verwendung von Drittanbieter-Patches ist jedoch nicht unumstritten. Experten raten generell dazu, nur offizielle Updates des Herstellers zu installieren. In diesem Fall könnte der 0patch jedoch eine sinnvolle Übergangslösung darstellen, bis Microsoft reagiert. Infografik Sicherheit im Netz: Deutsche fürchten sich vor Datenmissbrauch

NTLM - veraltetes, aber weitverbreitetes Protokoll

Die Schwachstelle betrifft das NTLM-Authentifizierungsprotokoll, das Microsoft offiziell als veraltet eingestuft hat. Dennoch kommt es in vielen Windows-Systemen noch zum Einsatz. Wenn Angreifer einen NTLM-Hash erbeuten, können sie versuchen, das zugehörige Passwort zu knacken oder den Hash für weitergehende Angriffe zu missbrauchen.

Microsoft empfiehlt Unternehmen seit Längerem den Umstieg auf das modernere Kerberos-Protokoll. Die aktuelle Schwachstelle unterstreicht die Dringlichkeit. Das Problem ist dabei nicht neu. bereits im Februar machte eine ähnlich spektakuläre Sicherheitslücke Schlagzeilen.

Was haltet ihr von der Situation? Würdet ihr den inoffiziellen Patch installieren oder lieber auf ein offizielles Update von Microsoft warten? Teilt eure Gedanken und Erfahrungen in den Kommentaren!


Siehe auch: