Wieder ist eine ungepatchte Windows-Lücke öffentlich, und diesmal erledigt Defender die Drecksarbeit
Der als Nightmare Eclipse bekannte Sicherheitsforscher hat nachgelegt. Abdelhamid Naceri, zu dessen früheren Veröffentlichungen BigDiskBuster gehörte, hat diese Woche einen funktionierenden Exploit namens SignDrop auf GitHub gestellt, und die Schwachstelle, die er ausnutzt, ist nicht behoben.
SignDrop ist das, was Fachleute eine Rechteausweitung nennen. Allein kommt es in keinen PC hinein. Es nimmt vielmehr ein Programm, das bereits mit normalen Benutzerrechten läuft, und gibt ihm SYSTEM, die höchste Kontrollstufe in Windows. Der Weg führt über das Common Log File System, den Teil von Windows, der bestimmte Protokolldateien führt, und über Schutzmechanismen, die Microsoft dort im Oktober 2025 eingebaut hat. Laut SecurityWeek bringt der Exploit Microsoft Defender dazu, eine Signaturdatei an einem vom Angreifer gewählten Ort anzulegen. Defender tut das mit vollen Systemrechten, und der Exploit schiebt anschließend seine eigene Nutzlast in die Datei. Naceri behauptet außerdem, dass dieselbe Technik den Selbstschutz ausschalten kann, mit dem sich Antivirenprogramme gegen Manipulation durch Schadsoftware wehren.
Naceri hat ihn unter Windows 11 26H2 getestet und schätzt, dass rund 80 % aller Windows-Installationen verwundbar sind, eine Zahl, die weder BleepingComputer noch SecurityWeek überprüft hat. Cyderes, ein Sicherheitsunternehmen, das den Code kompiliert und ausgeführt hat, sieht keine Hinweise darauf, dass SignDrop bei echten Angriffen eingesetzt wird. Einen Fix gibt es nicht, und laut Naceri würde das Abschalten des Protokollschutzes nur ältere Lücken wieder öffnen, also lassen Sie die Registrierung in Ruhe. Laden Sie auch nicht den Proof of Concept herunter, um Ihren eigenen PC zu „testen“.
Die wirksame Abwehr ist die langweilige. Eine solche Lücke braucht zuerst einen Fuß in der Tür, meist ein Programm, zu dessen Start jemand überredet wurde. Das gecrackte Spiel, das gefälschte Browser-Update und der Video-„Codec“, den eine Website angeblich verlangt, bleiben die eigentliche Gefahr. Lassen Sie Windows Update eingeschaltet, damit der Patch am Tag seines Erscheinens ankommt, und lassen Sie Tendvanes Sicherheitscheck auf einen Blick bestätigen, dass Defender, Firewall und Updates in Ordnung sind.