Ein Sicherheitsforscher, der unter dem Pseudonym "Nightmare Eclipse" bekannt ist, hat eine neue Zero-Day-Schwachstelle im Windows-Betriebssystem aufgedeckt, die er SignDrop nennt. Diese Schwachstelle ermöglicht es lokalen Benutzern mit eingeschränkten Rechten, ihre Berechtigungen auf die volle Systemebene (System) zu erhöhen, was ihnen eine umfassende Kontrolle über das betroffene Gerät verschafft.
Funktionsweise der Schwachstelle
Die Schwachstelle liegt im Common Log File System (CLFS)-Dienst, einem allgemeinen Protokolldienst, der von Windows-Anwendungen verwendet wird. Der Angriff nutzt die Interaktion zwischen diesem Dienst und "Windows Defender" aus. Der Angreifer manipuliert die Links des Windows-Objektverwaltungssystems, um Defender dazu zu zwingen, einen speziell präparierten CLFS-Container in einem privilegierten Sicherheitskontext zu öffnen. Da der Dienst neue Dateien mit Systemrechten erstellt, kann der Angreifer diesen Prozess nutzen, um Sicherheitsbeschränkungen zu umgehen.
Warum ist diese Nachricht wichtig?
Diese Schwachstelle ist besonders bedeutsam, da sie eine Sicherheitsmaßnahme, die Microsoft im Oktober 2025 zur Verhinderung früherer Angriffe eingeführt hat, in ein Werkzeug für Hacker verwandelt. Der Forscher wies darauf hin, dass die Schwachstelle einzigartig ist, da sie gegen jede Antimalware-Engine eingesetzt werden kann, um deren Selbstschutzmechanismen zu deaktivieren, da die Dateierstellungsanfrage für die Engine so aussieht, als stammte sie von einem legitimen, vertrauenswürdigen Prozess.
Ausmaß der Auswirkungen und Einschränkungen
Der Forscher bestätigte, dass die Schwachstelle bestimmte Versionen wie Windows 11 26H2 und Windows Server 2025 Experimental betrifft. Der Sicherheitsforscher Will Dormann erklärte seinerseits, dass die Reproduktion der Schwachstelle möglich sei, jedoch spezifische Bedingungen erfordere, darunter, dass das System seit mehr als 90 Tagen läuft und der Wert des Authentifizierungsmodus in der Systemregistrierung (Registry) auf 0 oder 1 eingestellt ist.
Microsoft erklärte seinerseits, dass das Unternehmen den Bericht untersuche und bestätigte, dass bisher keine Beweise für eine Ausnutzung der Schwachstelle bei tatsächlichen Angriffen vorlägen und dass das "Defender"-Programm daran arbeite, potenzielle Ausnutzungsversuche zu blockieren.