Shieldcrash: Forscher ärgert Microsoft mit neuem Defender-Exploit
Die seit Monaten andauernden Streitigkeiten zwischen dem Sicherheitsforscher Nightmare Eclipse (auch bekannt als Chaotic Eclipse) und Microsoft scheinen kein Ende zu finden. Pünktlich zum September-Patchday hat der Forscher unter dem Namen Shieldcrash wieder einen Zero-Day-Exploit veröffentlicht, mit dem Angreifer unter Windows Systemrechte erlangen können. Ein Patch ist bisher nicht in Sicht.
Dieses Mal kündigte Nightmare Eclipse den Exploit nicht auf seinem eigenen Blog(öffnet im neuen Fenster) an, sondern in einem Beitrag auf X(öffnet im neuen Fenster). Dort schreibt der Forscher, es handle sich um einen Bypass für Microsofts Patch gegen den im August geleakten Shieldbreak-Exploit.
Shieldbreak wurde zum August-Patchday veröffentlicht. Auch diesen Exploit hatte Nightmare Eclipse damals als Bypass für den Patch gegen einen bereits im Juni geleakten Exploit namens Rogueplanet beworben. Andere Sicherheitsforscher äußerten jedoch Zweifel an dieser Darstellung und betonten später, dass Shieldbreak technisch völlig anders funktioniere als Rogueplanet.
"High-Quality-Update" hilft nicht
Sowohl für Rogueplanet als auch für Shieldbreak versprach Microsoft jeweils ein "High-Quality-Update", welches Anwender vor einer Ausnutzung schützen soll. Für Rogueplanet kam der Patch Anfang Juli, für Shieldbreak am 3. September(öffnet im neuen Fenster). Verteilt wurden die Korrekturen jeweils durch ein Update für die Microsoft Malware Protection Engine.
Offenkundig lässt sich der Microsoft Defender aber immer noch für weitreichende Rechteausweitungen ausnutzen. Es sei nach wie vor möglich, "genau dasselbe Problem auszulösen, das durch Shieldbreak verursacht wurde", schreibt Nightmare Eclipse in der Beschreibung zu Shieldcrash auf Github(öffnet im neuen Fenster).
"Zwar hat Microsoft mehrere Maßnahmen ergriffen, um eine erneute Ausnutzung der Schwachstelle zu verhindern, doch wurde dabei eine Stelle übersehen, an der Shieldbreak weiterhin ausgenutzt werden kann", so der Forscher weiter. Der neue Shieldcrash-Exploit ermögliche es, beliebige Dateien mit Systemrechten zu lesen. Anfällig sollen alle aktuellen Windows-Versionen inklusive der September-Patches sein.
Shieldcrash soll noch mehr können
Nightmare Eclipse betont, dass sich der Exploit leicht erweitern lasse, so dass mehr als nur Lesezugriffe möglich sind. Er sei aber "gerade etwas faul" und habe sich daher entschieden, vorerst nur diese einfache Shieldcrash-Variante zu veröffentlichen. Auf X(öffnet im neuen Fenster) schreibt der Forscher, es seien Zugriffe auf die geschützte SAM-Datenbank (Security Account Manager(öffnet im neuen Fenster)) und damit eine vollständige Rechteausweitung möglich.
"Ich bin gespannt, ob es jemandem gelingt, daraus einen vollständigen Exploit zu entwickeln, bevor ich es mache", so Nightmare Eclipse. Interessierten Forschern empfiehlt er für nützliche Hinweise einen Blick in den Code des im April geleakten Bluehammer-Exploits.
Für Windows-Nutzer stellt die Veröffentlichung von Shieldcrash abermals eine Bedrohung dar. Damit steht Microsoft nun erneut unter Zugzwang. Bisher hat sich der Konzern noch nicht zu dem neuen Leak geäußert. Wann der Konzern das nächste "High-Quality-Update" veröffentlicht, um Shieldcrash-Angriffe zu unterbinden, bleibt abzuwarten.
Wir öffnen unsere neue Community für weitere Mitglieder! Möchtest du in konstruktiver und respektvoller Atmosphäre mit anderen IT-Experten über deine Themen sprechen? Sei dabei und melde dich an!
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.