Windows-Sicherheitsproblem:
Wild West Hackin zeigt LNK-Manipulation

Neue Manipulationstricks bei Windows-Verknüpfungen: Sicherheits­forscher zeigen, wie harmlos aussehende LNK-Dateien gefährlichen Code starten können und warnen vor dem Problem. Microsoft wiegelt ab, das sei kein echtes Sicherheitsproblem.

Sicherheitslücke Ja oder Nein?

Beim Wild West Hackin' Fest hat der Sicherheitsforscher Wietze Beukema mehrere neue Angriffsmöglichkeiten über Windows-Verknüpfungen (.LNK) vorgestellt (via Bleeping Computer). Angreifer könnten demnach die Dateien so verändern, dass sie andere Programme ausführen können, zum Beispiel PowerShell-Befehle oder Schadcode.

Windows-LNK-Dateien existieren seit Windows 95 und besitzen ein komplexes binäres Format, das sich für Täuschungsversuche nutzen lässt. Beukema fand gleich vier bisher unbekannte Varianten, die auf Inkonsistenzen in der Verarbeitung durch den Windows-Explorer zurückgehen. So zeigen manipulierte Dateien laut dem Forscher im Eigenschaftsfenster beispielsweise den harmlosen Pfad invoice.pdf an, starten nach einem Doppelklick aber ein völlig anderes Programm. Auch können Angreifer versteckte Befehlsargumente einbetten, die für Nutzer nicht sichtbar sind.


Zur Analyse und zum Nachstellen der Schwachstellen hat Beukema ein eigenes Open-Source-Tool namens "lnk-it-up" veröffentlicht. Damit lassen sich manipulierte LNK-Dateien sowohl erzeugen als auch prüfen, ob die angezeigte und die tatsächlich ausgeführte Zieldatei übereinstimmen.

Microsoft reagierte auf den Bericht mit Zurückhaltung. Der Konzern stuft die genannten Techniken nicht als Sicherheitslücken im engeren Sinne ein, weil sie eine bewusste Benutzeraktion erforderten und keine Systemgrenzen umgehen. Laut dem Microsoft Security Response Center sei die Gefahr begrenzt, da Microsoft Defender und Smart App Control entsprechende Aktivitäten erkennen und blockieren könnten.

Außerdem warnt Windows beim Öffnen heruntergeladener LNK-Dateien standardmäßig vor potenziellen Risiken. Beukema gibt sich dennoch skeptisch:

Angreifer setzen weiterhin auf LNK-Dateien, weil viele Nutzer solche Warnungen einfach wegklicken.

Das zeigte sich bereits bei der LNK-Sicherheitslücke CVE-2025-9491, die mit ähnlichen Methoden arbeitete und von staatlich unterstützten Hackergruppen - unter anderem aus Nordkorea, Russland und China - in Angriffen gegen diplomatische Einrichtungen in Europa eingesetzt wurde.

Was meinst ihr - ist Microsofts Reaktion nachvollziehbar oder wird hier ein potenzielles Risiko unterschätzt? Diskutiere mit!


Siehe auch: