Der Microsoft Defender ist der integrierte Antivirus- und Sicherheitsdienst in modernen Windows-Systemen. Millionen von Computern, von privaten Nutzern bis hin zu Unternehmensnetzen, verlassen sich auf diesen Schutz. Microsoft hat in der Vergangenheit bereits mehrfach Sicherheitslücken im Defender patchen müssen, und die Sicherheitsgemeinschaft beobachtet diese Lücken intensiv.
Nun ist ein neuer Exploit bekannt geworden, der die Bezeichnung Shieldbreak trägt. Dieser Exploit ist bemerkenswert, weil er einen früheren Sicherheitspatch für den Microsoft Defender umgeht. Das bedeutet: Auch wenn ein Unternehmen die bisherigen Patches eingespielt hat und sein System als "aktuell" einstuft, kann dieser neue Exploit trotzdem funktionieren.
Der Exploit funktioniert so, dass er Schwachstellen ausnutzt, um auf einem Windows-System Systemrechte zu erlangen. Mit Systemrechten hat ein Angreifer praktisch unbegrenzte Kontrolle über den Computer: Er kann Dateien lesen und ändern, andere Software installieren, Benutzerdaten stehlen oder das System für weitere Angriffe missbrauchen. Das ist eine sehr hohe Stufe von Zugriff und damit eine kritische Bedrohung.
Das Besorgniserregende ist, dass der Exploit bereits öffentlich auf Github verfügbar gemacht wurde. Das bedeutet, dass nicht nur Sicherheitsforscher Zugriff darauf haben, sondern potenziell auch Cyberkriminelle. Ein veröffentlichter Exploit wird häufiger und breiter genutzt als ein geheim gehaltener Exploit.
Für KMU ist dies eine dringende Sache. Unternehmen sollten schnellstmöglich überprüfen, welche Windows-Versionen und Defender-Versionen in ihrem Netzwerk eingesetzt werden. Microsoft wird mit hoher Wahrscheinlichkeit schnell einen neuen Patch bereitstellen. IT-Teams sollten bereit sein, diesen Patch kurzfristig einzuspielen, sobald er verfügbar ist. Bis dahin können zusätzliche Sicherheitsmassnahmen wie erhöhte Monitore oder temporäre Netzwerk-Segmentierung in Betracht gezogen werden, um das Risiko zu minimieren.