Chaotic Eclipse: Verärgerter Forscher leakt neuen Zero-Day-Exploit für Windows
Pünktlich zum Juli-Patchday hat der mit Microsoft zerstrittene Sicherheitsforscher Chaotic Eclipse (auch bekannt als Nightmare Eclipse) wieder einen neuen Zero-Day-Exploit veröffentlicht. Wie schon bei seinen früheren Leaks stellte der Forscher den Code für den Legacyhive genannten Exploit auf mehreren Plattformen bereit und teilte die Links dazu in seinem Blog(öffnet im neuen Fenster). Auch auf Github(öffnet im neuen Fenster) ist er wieder zu finden.
Legacyhive ermöglicht laut Beschreibung eine Rechteausweitung unter Windows. Ein Angreifer benötigt vorab lediglich Zugriff auf zwei einfache Nutzerkonten, kann mit dem Exploit aber bestimmte Aktionen als Admin ausführen.
Dafür werden dem anvisierten Admin-Konto zugeordnete Teile der Datenstruktur aus der Registry, sogenannte Hives(öffnet im neuen Fenster), im Classes-Verzeichnis eines regulären Benutzers eingebunden.
Chaotic Eclipse entschärfte den Exploit-Code nach eigenen Angaben absichtlich, um einen großflächigen Einsatz durch böswillige Akteure zu verhindern. In seiner ursprünglichen Form soll kein zweiter Standardnutzer erforderlich sein. Zudem sollen sich damit beliebige Hives ohne Einschränkungen übertragen lassen. Mit "ein paar Gehirnzellen" soll es aber möglich sein, das volle Potenzial des Exploits wiederherzustellen.
Alle gängigen Windows-Versionen betroffen
Laut Chaotic Eclipse funktioniert der Legacyhive-Exploit auf Windows-Geräten mit allen gängigen Desktop- und Server-Versionen des Betriebssystems. Auch die zum Juli-Patchday veröffentlichten Updates bieten davor keinen Schutz, wie Untersuchungen der beiden Sicherheitsforscher Kevin Beaumont(öffnet im neuen Fenster) und Will Dormann(öffnet im neuen Fenster) bestätigen.
Wie Dormann auf Mastodon schildert(öffnet im neuen Fenster), kann ein Angreifer mit Legacyhive beispielsweise ein COM-Objekt überschreiben, welches bei der Anmeldung an einem anvisierten Windows-System geladen wird, so dass beim späteren Einloggen eines Admin-Nutzers automatisch Schadcode mit dessen Rechten ausgeführt wird.
In einer gegenüber Ars Technica(öffnet im neuen Fenster) abgegebenen Stellungnahme erklärte Microsoft, der Konzern sei sich der Veröffentlichung von Legacyhive bewusst und untersuche die zugrundeliegende Sicherheitslücke bereits. Wann es einen Patch geben wird, ist jedoch unklar. Bis dahin können sich IT-Admins mit einem Satz von Erkennungsregeln behelfen, die Kevin Beaumont auf Github bereitgestellt(öffnet im neuen Fenster) hat.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.