Sicherheitsforscher Chaotic Eclipse ist bekannt für seine veröffentlichten Proof-of-Concept Exploits in Microsoft Produkten. Der aktuelle Exploit HardBreacher richtet sich allerdings an ein Kaspersky-Produkt. So war es wohl unter Umständen möglich, dass Angreifer Kaspersky Endpoint Security austricksen und so Dateien in geschützten Verzeichnis anlegen konnten.
Der Sicherheitsforscher Chaotic Eclipse, auch unter dem Namen Nightmare Eclipse bekannt, hat mit HardBreacher einen Proof-of-Concept für eine mutmaßliche Schwachstelle in Kaspersky Endpoint Security veröffentlicht. Nach Angaben des Forschers kann ein Benutzer mit eingeschränkten Rechten die Schutzmechanismen von Windows umgehen und Dateien in einem besonders geschützten Systemverzeichnis anlegen. Alle Unternehmen die Kaspersky Endpoint Security auf Windows-Systemen einsetzen bekommen daher ein Update.
Kaspersky erklärte gegenüber dem Portal SecurityWeek, die zugrunde liegende Schwachstelle sei behoben. Das notwendige Update werde bereits automatisch verteilt; Nutzer könnten alternativ manuell ein Datenbank-Update anstoßen. Kaspersky machte in der Stellungnahme jedoch keine Angaben zu einer CVE-Nummer, betroffenen Produktversionen oder einer möglichen Ausnutzung in realen Angriffen.
Exploit HardBreacher nutzt fehlende Interaktion aus
Der veröffentlichte PoC wurde laut den vorliegenden Informationen auf einem vollständig aktualisierten Windows 11 25H2 mit Kaspersky Endpoint Security 14.0.0.504 getestet. Bei erfolgreicher Ausführung soll HardBreacher eine DLL im Verzeichnis C:\Windows\System32 anlegen können. Dieses Verzeichnis ist normalerweise so geschützt, dass ein Standardbenutzer dort keine Dateien erstellen oder verändern darf.
Der Forscher beschreibt als Ursache eine fehlerhafte Interaktion zwischen Kaspersky Endpoint Security und einem zugehörigen Benutzeroberflächen-Prozess. Wird dieser Prozess kontrolliert, könne HardBreacher Dateioperationen beeinflussen und den Zugriff auf Dateien verändern. Dadurch könne die Sicherheitssoftware teilweise aus dem Tritt gebracht werden.
Schwachstelle mit wackeligem PoC
Die Auswirkungen des PoC sollten jedoch nicht dramatisiert werden. Chaotic Eclipse selbst räumt ein, dass der PoC instabil sei und häufig fehlschlage. Eine zuverlässige Ausführung beliebigen Codes mit SYSTEM-Rechten sei bislang nicht demonstriert worden.
Für die Ausnutzung benötigt ein Angreifer nach derzeitigem Kenntnisstand zunächst lokalen Zugriff auf das System oder die Möglichkeit, dort eigenen Code auszuführen. HardBreacher ist daher kein typischer Fernangriff, der ohne vorherige Zugangsmöglichkeit aus dem Internet gestartet werden kann. In einer bereits kompromittierten Umgebung könnte eine lokale Rechteausweitung dennoch eine wichtige Rolle spielen: Ein Angreifer könnte versuchen, Sicherheitskontrollen zu umgehen, weitere Schadsoftware zu installieren oder sich dauerhaft auf dem Gerät einzurichten.
Chaotic Eclipse setzt seine Exploit-Serie fort
Nightmare Eclipse veröffentlicht seit Monaten Proofs of Concept für bislang unbekannte Schwachstellen in Windows und Sicherheitsprodukten. Erst letztens gab es den Exploit ShieldBreak, dieser soll den Microsoft-Patch für die so gefixte Schwachstelle RoguePlanet umgehen. Betroffen ist Windows 10, 11.
Bereits veröffentlichte Schwachstellen im Umfeld von Chaotic Eclipse
- BlueHammer – Privilege Escalation in Microsoft Defender, teils bereits aktiv ausgenutzt
- RedSun – weitere Schwachstelle in Defender mit ähnlicher Zielrichtung, ebenfalls für Angriffe relevant
- UnDefend – Angriff auf Schutzmechanismen von Defender, um Erkennung zu umgehen
- YellowKey – Schwachstelle im Zusammenhang mit BitLocker, inklusive veröffentlichter Gegenmaßnahmen
- GreenPlasma / MiniPlasma – weitere lokale Angriffswege zur Rechteausweitung innerhalb von Windows-Systemen
- RoguePlanet – Angriffsmethode, die selbst auf vollständig gepatchten Systemen funktionieren kann