Windows: Hacker macht Drohung wahr, teilt kritische Zero-Day-Lücke

Der Konflikt zwischen dem 'Sicherheitsforscher' Nightmare Eclipse und Microsoft eskaliert weiter. Kurz nach dem jüngsten Patchday veröffentlichte der Entwickler eine neue Zero-Day-Schwachstelle für Windows, die weitreichende Systemzugriffe ermöglicht.

Neuer Windows-Exploit veröffentlicht

Ein mittlerweile berüchtigter 'Sicherheitsforscher' hat seine vorherige Drohung gegenüber Microsoft wahr gemacht. Nur wenige Stunden nach dem umfangreichen Juli-Patchday veröffentlichte der Entwickler nach mehreren Lücken eine weitere Zero-Day-Schwachstelle für Windows. Der Code zielt auf den Windows User Profile Service ab und ermöglicht eine lokale Rechteausweitung auf betroffenen Systemen.

Die Sicherheitslücke trägt den Namen LegacyHive und betrifft die Art und Weise, wie das Betriebssystem benutzerspezifische Registrierungsdatenbanken beim Systemstart lädt. Gelingt ein Angriff, kann ein Standardnutzer die Einstellungen eines anderen Kontos in seine eigene Sitzung einhängen. Das gewährt im schlimmsten Fall Lese- und Schreibzugriff auf die Daten eines Administrators, was eine vollständige Systemübernahme erleichtern kann.


Der von Nightmare Eclipse veröffentlichte Proof of Concept wurde bewusst stark eingeschränkt. Die öffentliche Version erfordert zusätzliche Anmeldedaten und beschränkt sich auf eine bestimmte Datei. Der vollständige Exploit soll laut dem Entwickler jedoch ohne diese Hürden funktionieren und beliebige Daten laden können.

Exaktes Timing

Der angegriffene Systemdienst ist essenziell für die korrekte Bereitstellung von Benutzerprofilen nach der Anmeldung. Da er mit hohen Systemrechten ausgeführt wird, stellt er ein attraktives Ziel für Angreifer dar. Zero-Day-Schwachstellen wie LegacyHive sind besonders kritisch, da sie der Öffentlichkeit und potenziellen Kriminellen bekannt werden, bevor der Hersteller einen funktionierenden Schutz entwickeln konnte. Dabei ist die jetzige Veröffentlichung direkt nach dem Juli-Patchday kein Zufall.

Dahinter steckt ein persönlicher Konflikt. Der Entwickler wirft Microsoft vor, ihn nicht ernst genommen und seine eingereichten Sicherheitslücken nicht fair vergütet zu haben. Nach einer Reihe von Sperrungen auf Entwicklerplattformen wie GitHub und GitLab drohte Nightmare Eclipse bereits Ende Mai damit, den Zero-Day-Exploit direkt nach einem Patchday zu veröffentlichen.

Gefahr für gepatchte Systeme

Das besonders Tückische an LegacyHive ist daher die angebliche Wirksamkeit auf allen aktuell unterstützten Versionen von Windows, selbst wenn das jüngste Sicherheitsupdate installiert ist. IT-Sicherheitsteams warnen davor, dass fähige Angreifer die fehlenden Teile des Codes schnell rekonstruieren könnten. In der Vergangenheit wurden ähnliche Lücken des Forschers innerhalb weniger Tage aktiv ausgenutzt.

Ein kleiner Lichtblick der aktuellen Situation ist, dass der eingeschränkt veröffentlichte Code zumindest einfache Trittbrettfahrer von sofortigen Angriffen abhält. Dennoch setzt das Vorgehen Microsoft stark unter Druck, da noch kein offizieller Patch existiert. Das Unternehmen untersucht den Vorfall derzeit und verweist wie schon in der Vergangenheit auf die Wichtigkeit einer koordinierten Offenlegung von Schwachstellen, um Endanwender nicht unnötig zu gefährden.

Wie bewertet ihr das Verhalten von Nightmare Eclipse im Streit mit Microsoft? Ist das Vorgehen legitim oder verantwortungslos? Teilt eure Gedanken und Meinungen zu diesem Konflikt gerne mit uns in den Kommentaren!


Siehe auch: