Forscher eskaliert weiter: Zero-Day-Exploit trickst den Windows Defender aus
Kurz nach Offenlegung seiner Identität setzt der mit Microsoft zerstrittene Sicherheitsforscher Abdelhamid Naceri, auch bekannt als Nightmare Eclipse oder Chaotic Eclipse, Microsoft erneut mit einem Zero-Day-Exploit für Windows-Systeme unter Druck. Der Bigdiskbuster genannte Exploit ist auf Github verfügbar(öffnet im neuen Fenster) und hindert den Windows Defender daran, Plattform- und Signaturupdates zu beziehen. Einen Patch gibt es bisher nicht.
"Ich habe ein lustiges Tool entwickelt, das Updates für den Defender vollständig unterbindet, so dass man an der aktuellen Version festhängt", erklärte Naceri auf X(öffnet im neuen Fenster) bezüglich seines Exploits. Voraussetzung dafür ist allerdings, dass das Tool permanent im Hintergrund läuft.
Der Sicherheitsforscher Will Dormann konnte die Funktionalität von Bigdiskbuster bestätigen. Mittels Screenshots zeigt er auf Mastodon(öffnet im neuen Fenster), wie zwei Defender-Definitionsupdates mit verschiedenen Fehlercodes fehlschlagen. Beim ersten Fall weist eine Meldung auf einen "fatalen Fehler" hin, beim zweiten auf einen Mangel an freiem Speicherplatz – obwohl auf dem Systemlaufwerk noch mehr als 96 GByte frei sind.
Versteckte Datei blockiert freien Speicher
Bigdiskbuster funktioniert laut Beschreibung auf Github ähnlich wie der Undefend-Exploit, den Naceri bereits im April veröffentlichte. Ursache soll eine DoS-Lücke (Denial of Service) im Windows Defender sein. Der Forscher gesteht, dass der neue Exploit "noch etwas fehlerhaft" sei und überarbeitet werden müsse. Grundsätzlich soll er aber auf allen Windows-Versionen funktionieren.
Laut dem Nachrichtenportal Cyber Security News(öffnet im neuen Fenster) überwacht der Exploit die Updateverzeichnisse des Defenders und blockiert die Updates bei erkannten Änderungen unter anderem dadurch, dass er im Nutzerverzeichnis temporär eine versteckte Datei anlegt, die den gesamten verfügbaren Speicherplatz auf der Festplatte belegt. Nachdem das Update fehlgeschlagen ist, soll der Speicher unmittelbar wieder freigegeben werden.
Tool hält Malware und anderen Exploits die Tür auf
Mit der geschilderten Funktionsweise ermöglicht Bigdiskbuster nicht nur das Einschleusen neuer Malware, sondern auch eine dauerhafte Ausnutzung anderer Sicherheitslücken. Naceri veröffentlichte in den vergangenen Monaten mehrfach Defender-Exploits wie Bluehammer, Redsun, Rogueplanet, Shieldbreak und Shieldcrash, mit denen sich Angreifer Systemrechte verschaffen können.
Mittels Bigdiskbuster könnte ein Angreifer bereits infiltrierte Windows-Systeme gezielt daran hindern, Patches gegen diese Art von Exploits zu installieren. Selbst wenn gerade kein funktionierender Exploit zur Rechteausweitung zur Verfügung steht, könnte der Angreifer im Laufe der Zeit an einen solchen gelangen und ein anvisiertes Zielsystem bis dahin anfällig halten.
Wann ein Patch gegen Bigdiskbusterr zur Verfügung stehen wird, bleibt abzuwarten. Administratoren können fehlschlagende Defender-Updates allerdings in den Windows-Sicherheitseinstellungen feststellen und im Verdachtsfall weitere Maßnahmen einleiten.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.