{"id":323800,"date":"2026-04-17T08:09:48","date_gmt":"2026-04-17T06:09:48","guid":{"rendered":"https:\/\/borncity.com\/blog\/?p=323800"},"modified":"2026-04-17T09:03:43","modified_gmt":"2026-04-17T07:03:43","slug":"redsun-naechste-windows-defender-0-day-schwachstelle","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2026\/04\/17\/redsun-naechste-windows-defender-0-day-schwachstelle\/","title":{"rendered":"RedSun: N\u00e4chste Windows Defender 0-Day-Schwachstelle"},"content":{"rendered":"

\"Windows\"Ein Sicherheitsforscher liefert sich mit Microsoft einen Schlagabtausch im Hinblick auf die Ver\u00f6ffentlichung von 0-Day-Sicherheitsl\u00fccken. Nach BlueHammer hat der Experte den n\u00e4chsten 0-Day mit Namen RedSun samt Exploit ver\u00f6ffentlicht. Und es gibt noch einen UnDefend genannte n \"Exploit\", den der Sicherheitsforscher ver\u00f6ffentlicht hat.<\/p>\n

<\/p>\n

Zoff wegen Inkompetenz des MSRC-Teams<\/h2>\n

\"\"Die Hintergr\u00fcnde, warum der Sicherheitsforscher Chaotic Eclipse st\u00e4ndig 0-Day-Schwachstellen samt Exploits ver\u00f6ffentlicht, liegt mutma\u00dflich in der Arbeitsweise des Microsoft Security Response Teams (MSRT). Die Mitarbeiter dieses Teams sind inzwischen darauf getrimmt, Sicherheitsmeldungen stur nach Schema-F abzuarbeiten. Das f\u00fchrt dazu, dass Sicherheitsmeldungen oft nicht richtig eingeordnet oder falsch bewertet werden.<\/p>\n

So hatte Chaotic Eclipse vor einiger Zeit eine Schwachstelle beim MSRT gemeldet, die das Verhalten des Defender betraf. Meiner Interpretation nach erhielt er eine ablehnende R\u00fcckmeldung. Darauf hat Chaotic Eclipse die Information \u00fcber die Schwachstelle zum 3. April 2026 auf X \u00f6ffentlich gemacht und ein Proof of Concept (PoC) f\u00fcr einen Exploit auf GitHub bereitgestellt.<\/p>\n

\"BlueHammer<\/p>\n

Obiger Tweet greift den Sachverhalt, den ich im Blog-Beitrag\u00a0BlueHammer: Windows 0-day-Schwachstelle<\/a> beschrieben habe, auf. Zum 14. April 2026 gab es dann einen Patch von Microsoft – und ich habe das im Rahmen einer Nachlese im Beitrag BlueHammer-Nachlese: Defender-Patch vom 14.4.2026 und Analyse von Fortra<\/a> samt einer Analyse von Fortra angesprochen.<\/p>\n

Aber nach dem Patch ist vor dem Patch, Chaotic Eclipse hat binnen 14 Tagen gleich drei 0-Day-Exploits im Defender ver\u00f6ffentlicht. Neben BlueHammer<\/em> gibt es noch einen Exploit UnDefend,<\/em> sowie den nachfolgend beschriebenen RedSun<\/em> 0-Day-Exploit.<\/p>\n

RedSun: Noch ein Defender-0-Day<\/h2>\n

Mir ist die Information \u00fcber eine weitere, bisher ungepatchte, Schwachstelle im Windows Defender \u00fcber nachfolgenden Tweet<\/a> untergekommen. Im Post wird davor gewarnt, dass der in Windows mitgelieferte Defender \"kompromittiert\" sei.<\/p>\n

\"Windows<\/a><\/p>\n

Es gebe einen \u00f6ffentlich bekannten, ungepatchten Exploit, der jeder App auf einem Windows-System volle Systemadministratorrechte gew\u00e4hrt. Angriffsvektor sei der Microsoft Defender. Ransomware Gangs k\u00f6nnten dies nutzen, um das gesamte System zu verschl\u00fcsseln und alle gespeicherten Passw\u00f6rter, Browsersitzungen und Discord-Token zu stehlen. Das sei auch auf einem vollst\u00e4ndig gepatchten Windows 11 bei aktiviertem Echtzeitschutz m\u00f6glich.<\/p>\n

\"Windows-Defender<\/a><\/p>\n

In obigem Tweet<\/a> gibt impulsive noch einige Details zum RedSun-0-Day-Exploit.
\nDer 0-Day-Exploit nutzt eine Race Condition aus: Findet der Microsoft Defender eine verd\u00e4chtige Datei, die mit einem Cloud-Tag versehen ist, versucht er, diese zu \"reparieren\". Die Reparatur besteht darin, dass der Defender die Datei an ihren urspr\u00fcnglichen Speicherort zur\u00fcck kopiert.<\/p>\n

Der Exploit verwendet nun die OPLOCK-Technik<\/a> und eine Verkn\u00fcpfung (Junction), um diesen Schreibvorgang in C:\\Windows\\System32<\/em> umzuleiten. W\u00e4hrend der Defender \"glaubt\", dass er die Dateien in einen tempor\u00e4ren Ordner speichert, werden diese jedoch in den Ordner C:\\Windows\\System32 <\/em>geschrieben.\u00a0So k\u00f6nnten Angreifer den Defender anleiten, eine infizierte Datei mit einem Payload selbst in den betreffenden System32-<\/em>Ordner zu liefern. <\/em>Diese Dateien lassen sich dann mit Systemrechten ausf\u00fchren. Chaotic Eclipse hat den Exploit auf GitHub ver\u00f6ffentlicht<\/a>.<\/p>\n

UnDefend blockiert Defender-Updates<\/h2>\n

In einem Folgetweet merkt der Poster an, dass Chaotic Eclipse neben den oben erw\u00e4hnten 0-Day-Exploits BlueHammer (CVE-2026-33825) und RedSun in den letzten 14 Tagen auch noch das Tool UnDefend<\/a> ver\u00f6ffentlichte habe. Bei UnDefend handelt es sich um ein auf GitHub ver\u00f6ffentlichtes Repository mit einen Windows Defender-DOS-Tool.<\/p>\n

Dieses Tool ben\u00f6tigt keine Administratorrechte und kann als Standardbenutzer ausgef\u00fchrt werden.\u00a0Es unterst\u00fctzt dabei zwei Modi: passiv und aggressiv.<\/p>\n