Nightmare Eclipse will noch eine BitLocker-Lücke gefunden haben

Der Sicherheitsforscher "Nightmare Eclipse" hat erneut zugeschlagen und Inforationen zu einer Zero-Day-Sicherheitslücke in einem Microsoft-Produkt veröffentlicht. Erneut geht es um eine Möglichkeit, die Festplattenverschlüsselung BitLocker zu umgehen.

Aushebeln nach Defender-Scan

Nach Angaben des Forschers wurde die Sicherheitslücke mit der Bezeichnung "GreatXML" eher zufällig entdeckt. Die Entwicklung eines funktionierenden Angriffs habe lediglich vier Stunden in Anspruch genommen. Angreifbar seien sämtliche Systeme, auf denen irgendwann in der Vergangenheit ein Microsoft-Defender-Offline-Scan ausgeführt wurde.

Die Veröffentlichung erfolgte nur kurz nach einem weiteren Exploit namens "RoguePlanet". Dieser soll eine lokale Rechteausweitung ermöglichen und Angreifern die Kontrolle auf SYSTEM-Ebene verschaffen. Insgesamt hat Nightmare Eclipse damit nach eigener Zählung bereits acht bislang unbekannte Windows-Schwachstellen öffentlich gemacht. Für sechs zuvor veröffentlichte Lücken stellte Microsoft im Rahmen des jüngsten Patch Tuesday bereits Sicherheitsupdates bereit.


Microsoft bestätigte gegenüber Medienberichten, dass die Vorwürfe rund um RoguePlanet untersucht werden. Ob und wann ein Update gegen GreatXML erscheinen könnte, ließ das Unternehmen zunächst offen. Der Konzern betonte zudem, dass keine der zuletzt veröffentlichten Schwachstellen vorab über die offiziellen Meldewege eingereicht worden sei.

Es gibt Zweifel

Allerdings gibt es Zweifel an der praktischen Relevanz von GreatXML. Der bekannte Sicherheitsforscher Will Dormann versuchte, die beschriebenen Schritte nachzustellen. Seinen Tests zufolge funktioniert der Angriff nicht wie beschrieben. Der von Nightmare Eclipse geschilderte Ablauf setze offenbar voraus, dass ein Defender-Offline-Scan erneut gestartet wird. Dafür seien jedoch bereits eine Anmeldung am System sowie Administratorrechte erforderlich.

Dormann weist darauf hin, dass ein Angreifer mit einem solchen Zugriffslevel BitLocker ohnehin deaktivieren könne. Ob GreatXML tatsächlich eine ernsthafte Gefahr für Windows-Nutzer darstellt, bleibt daher vorerst unklar.

Die Beziehung zwischen Microsoft und Nightmare Eclipse gilt seit Monaten als angespannt. Der Forscher, der nach Einschätzung einiger Sicherheitsexperten früher für Microsoft gearbeitet haben könnte, kritisiert insbesondere den Umgang des Unternehmens mit Meldungen von Sicherheitslücken. Nach früheren Veröffentlichungen war ein GitHub-Konto des Forschers gesperrt worden. Zeitweise stand zudem eine rechtliche Auseinandersetzung im Raum.


Siehe auch: