Windows Defender: Neuer Exploit verschafft Systemrechte
Kaum ist der September-Patchday vorbei, meldet sich der Sicherheitsforscher Nightmare Eclipse mit einem neuen Bypass zurück: "ShieldCrash" hebelt offenbar den erst frisch gepatchten Defender-Bug ShieldBreak wieder aus. Was steckt hinter dem Exploit, wie geht der Forscher dabei vor, und was können Admins jetzt schon tun?
Ein anonymer Sicherheitsforscher, der unter dem Namen Nightmare Eclipse auftritt, hat kurz nach dem September-Patchday einen neuen Zero-Day-Exploit für Windows Defender veröffentlicht. Das Tool trägt den Namen "ShieldCrash" und soll einen Fix umgehen, den Microsoft erst wenige Tage zuvor ausgeliefert hat.
Konkret geht es um die Schwachstelle CVE-2026-69414, besser bekannt unter dem Namen ShieldBreak. Laut Nightmare Eclipse hat Microsoft die Lücke nicht vollständig geschlossen, unter bestimmten Bedingungen lasse sich exakt derselbe Fehler weiterhin auslösen.
Wie der Exploit technisch funktioniert
Die auf GitHub veröffentlichte Beschreibung spricht von einem "Skeleton-PoC", der einen beliebigen Dateizugriff mit SYSTEM-Rechten ermöglicht. Schreibzugriff auf das kompromittierte System soll das Tool dabei nicht liefern, betroffen seien aber sämtliche derzeit unterstützten Windows-Versionen.
Ein Screenshot des Forschers zeigt den Ablauf in einer PowerShell-Sitzung. Zunächst listet er den Inhalt eines Release-Ordners auf, der die kompilierte ShieldCrash.exe samt zugehöriger Debug-Datei enthält.
Anschließend startet er das Tool mit dem geschützten Systempfad zur Defender-ELAM-Konfiguration als Ziel. Die Ausgabe protokolliert Schritt für Schritt, wie ein Cloud-Provider registriert und ein Platzhalter-Objekt angelegt wird, über das sich Defenders eigener Scan-Mechanismus offenbar austricksen lässt.
Im weiteren Verlauf legt das Programm mehrere interne Objektverweise an und stößt einen regulären Defender-Scan an. Am Ende des Vorgangs taucht im Zielordner eine neue Datei auf, deren Name auf die zuvor adressierte ELAM-Konfiguration verweist, dem Forscher zufolge der Beleg für den erfolgreichen, nicht autorisierten Lesezugriff mit Systemrechten.
Was Admins kurzfristig tun können
Eine offizielle Mitigation von Microsoft speziell für ShieldCrash gibt es bislang nicht, der Fall wird nach Angaben von Sicherheitsdienstleistern noch geprüft. Bis ein Patch vorliegt, empfehlen Sicherheitsteams daher eine Reihe allgemeiner Schutzmaßnahmen.
Dazu zählt zunächst der Blick auf die Engine-Version: Der ursprüngliche ShieldBreak-Fix steckt in der Malware-Protection-Engine ab Version 1.1.26080.3, die laut Berichten aber nicht überall zeitnah ausgerollt wird. Ergänzend sollten automatische Updates für Engine und Security-Intelligence-Definitionen aktiv bleiben und tatsächlich auf allen Endpunkten ankommen.
Da ShieldCrash lokale Rechte voraussetzt, raten Fachleute außerdem dazu, interaktiven Zugriff einzuschränken, unnötige lokale Administratorrechte zu entfernen und Application Control durchzusetzen. Parallel dazu lohnt sich ein genauerer Blick auf Telemetriedaten rund um Defender-Prozesse und geschützte Dateizugriffe, um ungewöhnliches Verhalten frühzeitig zu erkennen.
Wichtig bleibt zudem, Advisories des Microsoft Security Response Centers sowie Defender-Health-Meldungen im Auge zu behalten, um ein künftiges Update sofort einspielen zu können. Da bislang nur ein lesender Zugriff nachgewiesen ist, raten Experten eher zu gezieltem Monitoring und Zugriffsbeschränkung als zu drastischen Notfallmaßnahmen wie einer Abschaltung von Defender-Komponenten.
Fortsetzung eines länger andauernden Streits
Nightmare Eclipse veröffentlicht seine Funde nach eigenen Angaben im Rahmen einer andauernden Auseinandersetzung mit Microsoft über dessen Umgang mit Bug-Bounty-Zahlungen und der Offenlegung von Schwachstellen. Microsoft wiederum hatte zuvor mit rechtlichen Schritten gegen "böswillige Aktivitäten mit echtem Schaden" für seine Kundschaft gedroht.
Viele in der Sicherheitsszene werteten diese Ankündigung als direkte Drohung gegenüber dem Forscher. Ein offizieller Kommentar von Microsoft zu ShieldCrash selbst liegt bislang nicht vor.
Lange Liste an offenen Schwachstellen
Seit April hat Nightmare Eclipse bereits eine ganze Reihe weiterer Zero-Days offengelegt, darunter LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma und UnDefend. Die Lücken betreffen neben Defender auch BitLocker und weitere Windows-Komponenten.
Microsoft hat inzwischen zwar ShieldBreak, RoguePlanet, YellowKey, GreenPlasma und MiniPlasma geschlossen, mehrere der übrigen gemeldeten Schwachstellen warten aber weiterhin auf einen offiziellen Patch. Mit ShieldCrash zeigt sich nun, dass selbst als behoben geltende Lücken erneut Angriffsfläche bieten können.