Veröffentlichte Windows-Defender-Exploits werden jetzt in Angriffen eingesetzt
Laut dem Cybersicherheitsunternehmen Huntress wurde eine Reihe von Windows-Sicherheitslücken, die Anfang dieses Monats von einem Forscher online veröffentlicht wurden, bereits in mindestens einem realen Einbruch verwendet. Damit wird aus einer öffentlichen Offenlegung einer Schwachstelle ein konkretes Betriebsrisiko für Organisationen, die auf Microsoft Defender angewiesen sind und die verfügbaren Korrekturen oder Ausgleichsmaßnahmen noch nicht angewendet haben.
Huntress teilte mit, dass Angreifer drei als BlueHammer, UnDefend und RedSun bekannte Schwachstellen ausnutzen. Von diesen hat Microsoft bislang nur BlueHammer gepatcht; das Unternehmen stellte den Fix bereits früher in dieser Woche bereit. Die übrigen Probleme lassen nach dem bereitgestellten Quellentext weiterhin offen, wie stark einige Organisationen gefährdet sein könnten, wenn sie auf die Standard- oder unveränderten Defender-Schutzmechanismen setzen.
Der Vorfall unterstreicht auch eine alte Spannung in der Computersicherheit: Öffentliche Offenlegung kann Anbieter zu schnellerem Handeln drängen, aber detaillierter Exploit-Code, der veröffentlicht wird, bevor Patches breit verteilt sind, senkt die Einstiegshürde für böswillige Akteure sofort. In diesem Fall berichtete TechCrunch, dass die Exploit-Aktivität offenbar Code verwendet, der von einem Forscher unter dem Namen Chaotic Eclipse veröffentlicht wurde.
Wie die Schwachstellen in die Öffentlichkeit gelangten
Laut dem Quellentext veröffentlichte Chaotic Eclipse zunächst Code, von dem behauptet wurde, er nutze eine ungepatchte Windows-Schwachstelle aus, und äußerte zugleich Frustration über Microsofts Umgang mit dem Problem. Tage später veröffentlichte der Forscher weiteres Exploit-Material für UnDefend und RedSun, darunter Code, der auf GitHub gehostet wurde. Alle drei Schwachstellen betreffen Microsoft Defender und können es einem Angreifer ermöglichen, erhöhte, administratorähnliche Zugriffsrechte auf einem Zielsystem mit Windows zu erlangen.
Diese Abfolge ist wichtig, weil die Veröffentlichung von Exploits die Bedrohungslage schnell verändert. Sobald funktionsfähiger Code öffentlich ist, müssen Angreifer den Fehler nicht mehr selbst finden oder eigene Werkzeuge von Grund auf entwickeln. Sie können veröffentlichtes Material anpassen, automatisieren und in hohem Tempo gegen exponierte Systeme testen.
Der Quellentext nennt weder die betroffene Organisation noch den verantwortlichen Bedrohungsakteur. Doch fehlende Zuschreibung mindert die Bedeutung des Falls nicht. Praktisch haben Verteidiger nun bestätigte Belege dafür, dass opportunistische oder gezielte Angreifer auf diese Offenlegungen reagieren.
