Windows: Sicherheitsforscher düpiert Microsoft mit zehntem Zero-Day

Direkt nach dem August-Patchday hat der Sicherheitsforscher Nightmare Eclipse einen weiteren Zero-Day-Exploit für Windows veröffentlicht. Die Schwachstelle ist erneut der Windows Defender. Der Vorfall verschärft den schwelenden Konflikt mit Microsoft.

Neuer Exploit zum Patchday

Pünktlich zum neuen Patchday, der neben Sicherheitsverbesserungen auch frische Funktionen wie einen CPU-Boost für App-Starts mitbringt, veröffentlicht Nightmare Eclipse einen weiteren Zero-Day für Windows. Die Schwachstelle mit dem Namen ShieldBreak ermöglicht es Angreifern, lokale Privilegien massiv auszuweiten. Betroffen sind Windows 10, Windows 11 sowie Windows Server 2025. Der Forscher reagiert mit der Offenlegung erneut auf den anhaltenden Konflikt mit dem Softwarekonzern über den bisherigen Umgang mit gemeldeten Fehlern.

ShieldBreak nutzt den Windows Defender als Einfallstor. Wenn die Sicherheitssoftware aktiviert ist, kann ein Angreifer durch die Ausführung einer präparierten Anwendung von einem einfachen Benutzerkonto auf die höchste Systemebene aufsteigen. Der Exploit gewährt den Zugriff auf das Konto NT AUTHORITYSYSTEM. Damit erhalten Hacker die vollständige Kontrolle über das Betriebssystem und alle darauf gespeicherten Daten.


Wie TechCrunch berichtet, baut der aktuelle Angriff auf der älteren Schwachstelle RoguePlanet auf. Microsoft hatte für diese Lücke bereits einen Patch bereitgestellt. Laut dem Forscher war die Fehlerbehebung jedoch unzureichend, sodass ShieldBreak die bisherigen Schutzmaßnahmen nun vollständig umgeht und Microsoft nicht gerade im besten Licht dastehen lässt.

Raffinierte Täuschung im System

Der technische Ablauf des Exploits ist sehr komplex und nutzt legitime Systemfunktionen aus. Nightmare Eclipse veröffentlichte dazu einen Proof of Concept auf Github. Der Angriff erfolgt in mehreren Schritten. Zuerst erfolgt die Erstellung gefälschter Ordner im Kernspeicher. Anschließend registriert die Malware einen falschen Cloud-Treiber. Schließlich kommt es zur Manipulation der Protokolldateien während des Virenscans.

Am Ende der Kette wird ein gefälschter Fehlerbericht erzeugt. Das zwingt die Aufgabenplanung dazu, den bösartigen Code mit Systemrechten auszuführen. Solche sogenannten Privilege-Escalation-Angriffe sind besonders gefährlich, wenn Kriminelle bereits einen Fuß in der Tür eines Unternehmensnetzwerks haben. So lassen sich unbemerkt weitere Überwachungstools installieren oder Hintertüren einrichten.

Streit um die Behandlung von Bugreports

Hintergrund der Veröffentlichung ist ein Streit zwischen Nightmare Eclipse und Microsoft. Im Mai drohte der Konzern dem Sicherheitsforscher mit rechtlichen Schritten, falls er Informationen zu Zero-Days außerhalb der offiziellen Richtlinien veröffentlicht. Obwohl das Unternehmen das harte Vorgehen später auf sozialen Netzwerken abmilderte, blieb der ursprüngliche Blogbeitrag bis heute unverändert online.

Nightmare Eclipse wirft dem Unternehmen hingegen vor, frühere Fehlerberichte ignoriert oder nicht ernst genommen zu haben. Ein Sprecher von Microsoft gab an, man untersuche die gemeldete Schwachstelle aktiv. Ein offizieller Patch für ShieldBreak existiert derzeit aber noch nicht. Bis ein Update zur Verfügung steht, bleibt das Risiko für Netzwerke bestehen, auch wenn der Exploit eine lokale Ausführung durch den Nutzer voraussetzt.

Wie bewertet ihr das Vorgehen des Forschers im Konflikt mit Microsoft? Teilt eure Gedanken zur Veröffentlichung von Zero-Days und der Sicherheit von Windows Defender gerne in den Kommentaren mit.


Siehe auch: