Sicherheitslösungen von Drittanbietern lassen sich als Angriffsziel unter Windows missbrauchen. Nun hat Nightmare Eclipse einen weiteren 0-Day veröffentlicht, der Windows-Nutzer tangiert. In Kaspersky Antivirus For Endpoint gibt es eine 0-Day-Schwachstelle, die für normale Benutzer eine Erhöhung der Privilegien auf Systemrechte ermöglicht.
HardBreacher: Kaspersky AV-0-Day
Die Information ist mir bereits zum Wochenende über den nachfolgenden Tweet untergekommen. Die dort mit dem Alias MSNightmare2000 genannte Person, die den 0-day veröffentlicht hat, ist niemand anderes als die Person, die in den letzten Monaten unter wechselnden Aliasen wie Nightmare Eclipse reihenweise 0-day-Schwachstellen in Microsoft-Produkten veröffentlicht hat. Die am Beitragsende verlinkten Blog-Beiträge befassen sich mit diesen 0-day-Schwachstellen.
Bei HardBreacher handelt es sich um einen ungepatchte (0-day) Schwachstelle, die Systeme betrifft, auf denen Kaspersky Antivirus For Endpoint installiert ist. Der Entdecker hat einen Exploit als Proof of Concept (PoC) auf GitHub unter dem Namen HardBreacher veröffentlicht.
Getestet hat der Entdecker den Exploit unter einem aktuellen Windows 11 24H2 Enterprise (Patchstand Ende August 2026). Auf diesem System war Kaspersky Antivirus For Endpoint in der Version 14.0.0504 installiert. Kaspersky Endpoint Security für Windows 14.0.0.504 wurde am 16. April 2026 veröffentlicht, und bekommt bis zum 16. April 2028 eine vollständige Unterstützung. Eingeschränkten Support für die für Unternehmensumgebungen vorgesehene Sicherheitslösung gibt es sogar bis zum 16. April 2029.
Der von MSNightmare aka Nightmare Eclipse auf GitHub veröffentlichte Proof of Concept (PoC) nutzt eine 0-Day-Schwachstelle in Kaspersky Antivirus For Endpoint aus. Angreifer, die bereits eingeschränkten Zugriff auf ein Windows-System haben, können über den Exploit ihre Rechte auf Systemprivilegien ausweiten, wie nachfolgender Screenshot des Entdeckers belegen soll.
Der Entdecker schreibt, dass der PoC nicht besonders ausgefeilt und im "bestem Zustand", sondern im Grunde nur provisorisch zusammengeflickt sei. Er habe es gerade so hinbekommen, dass der Exploit läuft, mehr nicht. Der PoC wird in der Regel mit einer Fehlermeldung abstürzen. Daher muss das Programm einfach mehrfach erneut gestartet werden. Ist der Angriff erfolgreich, erstellt der Exploit die nachfolgende Datei:
C:\Windows\System32\MY_SNAKE_IS_SOLID.dll
mit vollen Berechtigungen für den aktuellen Benutzer. Der Entdecker schreibt, dass die Kaspersky-Lösung "völlig aus der Bahn gerät", wenn man die Kontrolle über den UI-Prozess übernimmt. Man könne dann dafür sorgen, dass die Virenschutz- und Sicherheitslösung nicht mehr funktioniert, oder über die manipulierte Datei Zugriff auf Dateien gewähren, auf die das Programm eigentlich keinen Zugriff haben sollte – oder eben den Zugriff auf Dateien blockieren. Konnte der Exploit im PoC erfolgreich ausgeführt werden, gerät das gesamte Betriebssystem völlig durcheinander, schreibt der Entdecker. Er habe das Konzept unter Windows 11 25H2 getestet und es habe nach einem Neustart funktioniert.
Ähnliche Artikel:
BlueHammer: Windows 0-day-Schwachstelle
BlueHammer-Nachlese: Defender-Patch vom 14.4.2026 und Analyse von Fortra
RedSun: Nächste Windows Defender 0-Day-Schwachstelle
Chaotic Eclipse zwei 0-Day-Windows Schwachstellen (YellowKey, GreenPlasma), eine in MS Teams
Nightmare Eclipse veröffentlicht MiniPlasma-Schwachstelle CVE-2020-17103
Zoff und Schwarze-Peter-Spiel zwischen 'Microslop' und Chaotic Eclipse
Nightmare Eclipse auf GitLab gebannt; Microsoft nimmt Stellung
Microsoft versus Nightmare Eclipse: Wir haben jetzt "Bitskrieg"
BlackHat 2026 in Vegas: Tritt das MSRC gerade in das nächste Fettnäpfchen?
Windows: Details zur Bitlocker-Schwachstelle "Bitskrieg"
Windows Defender-Schwachstelle RoguePlanet durch Nightmare Eclipse offengelegt
MVP: 2013 – 2016
