RoguePlanet: Nightmare Eclipse zeigt Zero Day in Microsoft Defender

Der Sicherheitsforscher hinter dem Pseudonym "Nightmare Eclipse" erregt mit der Veröffentlichung einer weiteren Zero-Day-Schwachstelle Aufsehen. Diese betrifft den Microsoft Defender und gewährt einem Angreifer unter Windows System-Rechte.

Exploit bringt System-Rechte

Die Sicherheitslücke firmiert unter der Bezeichnung "RoguePlanet" und funktioniert nach Angaben ihred Entdeckers auch auf vollständig aktualisierten Windows-10- und Windows-11-Systemen. Dem Forscher zufolge ermöglicht die Schwachstelle Angreifern, durch einen Fehler in Microsoft Defenders Verarbeitungsvorgängen eine Eingabeaufforderung mit System-Rechten zu starten. Dabei handelt es sich um die höchste lokale Berechtigungsstufe unter Windows.

Den zugehörigen Proof-of-Concept-Code stellte Nightmare Eclipse in einem selbst betriebenen Quellcode-Repository bereit. Zuvor seien entsprechende Repositories auf GitHub und GitLab nach seinen Angaben entfernt worden. Die Zuverlässigkeit des Angriffs sei allerdings unterschiedlich: Während auf einigen Systemen eine Erfolgsquote von 100 Prozent erreicht worden sei, habe der Exploit auf anderen Rechnern deutlich weniger zuverlässig funktioniert.


Tests sollen unter Windows 10 sowie verschiedenen Windows-11-Versionen durchgeführt worden sein, darunter auch Systeme mit den aktuellen Sicherheitsupdates vom Juni 2026. Bestätigt wurden die Angaben durch das Cybersicherheitsunternehmen ThreatLocker, dessen Mitarbeiter die Schwachstelle erfolgreich nachvollzogen zu haben, berichtet BleepingComputer. Organisationen könnten sich jedoch durch Application Allowlisting wirksam gegen die Ausführung des Angriffs schützen, hieß es.

Ein Bug im Prozess

Ursprünglich sei der RoguePlanet-Exploit zur Remotecode-Ausführung entwickelt worden. Dabei sollte Microsoft Defenders Umgang mit Dateien ausgenutzt werden, die über entfernte SMB-Freigaben bereitgestellt werden. Nach Angaben des Sicherheitsforschers führte dies in frühen Entwicklungsphasen dazu, dass Defender eigene Dateien überschreiben konnte, was letztlich eine Ausführung von Schadcode ermöglicht habe.

Ob RoguePlanet weiterhin zu einer vollständigen Remotecode-Ausführung ausgebaut werden kann, ist derzeit unklar. Nightmare Eclipse vermutet, dass Microsoft bereits Mitte Mai interne Schutzmaßnahmen in Defender eingeführt hat, die bestimmte Angriffswege blockieren.

Die Veröffentlichung erfolgt vor dem Hintergrund eines anhaltenden Konflikts zwischen dem Forscher und Microsoft. In den vergangenen Monaten hatte Nightmare Eclipse bereits mehrere ungepatchte Windows-Schwachstellen öffentlich gemacht. Erst mit den Juni-Updates schloss Microsoft zwei dieser Lücken. Das Unternehmen hat sich zu RoguePlanet bislang nicht öffentlich geäußert.


Siehe auch: