In der Welt der Informationssicherheit hat ein schwerwiegender Vorfall für Aufsehen gesorgt: Am 14. Juli 2026, unmittelbar nach der Veröffentlichung des neuesten Microsoft-Update-Pakets (Patch Tuesday), wurde ein funktionierender Exploit für eine Zero-Day-Schwachstelle namens LegacyHive öffentlich. Der Angriff betrifft aktuelle Versionen von Windows 10, Windows 11 und Windows Server und ermöglicht es Angreifern mit minimalen Zugriffsrechten, die vollständige Kontrolle über das System zu erlangen.

Hack über den Benutzerprofil-Dienst

Das Kernproblem liegt in einem kritischen Komponente des Betriebssystems – dem Windows-Benutzerprofil-Dienst (ProfSvc). Dieser Dienst ist für das Laden und Entladen von Benutzereinstellungen beim Anmelden verantwortlich und arbeitet mit maximalen Privilegien (NT AUTHORITY\\SYSTEM). Genau hier haben Forscher eine Lücke entdeckt, die es ermöglicht, Schutzmechanismen zu umgehen.

Die Funktionsweise des LegacyHive-Angriffs basiert auf einer komplexen Interaktion mit dem Systemkern. Der Exploit nutzt Manipulationen mit symbolischen Verknüpfungen im Namensraum des Object Managers und erzeugt einen sogenannten „Race Condition' (Wettlaufzustand). In diesem kritischen Moment montiert der ProfSvc-Dienst fälschlicherweise geschützte Registrierungsdateien des Administrators (UsrClass.dat und ntuser.dat) im Kontext der Sitzung eines normalen Benutzers. Dies öffnet den direkten Weg zur Privilegieneskalation.

Einschränkungen des Exploits und Modifikationsrisiko

Auf den ersten Blick weist der veröffentlichte Proof-of-Concept (PoC) integrierte Einschränkungen auf, die automatisierte Angriffe möglicherweise bremsen könnten. Um das Szenario auszuführen, benötigt der Angreifer legitime Anmeldeinformationen (Benutzername und Passwort) eines weiteren Standardkontos auf dem Ziel-PC sowie den genauen Namen des Administratorkontos, das kompromittiert werden soll.

Die Basisversion des Exploits ermöglicht derzeit nur das Lesen vertraulicher Informationen aus der Registrierung – wie die Explorer-Historie, forensische Artefakte und andere versteckte Daten. Experten von ThreatLocker und Comss warnen jedoch: Der Code lässt sich leicht modifizieren. In veränderter Form ist das Tool in der Lage, beliebige Binärdateien mit SYSTEM-Rechten auszuführen, was faktisch die vollständige Übernahme des Systems bedeutet.

Fehlende CVE-ID und Reaktion von Microsoft

Der Entwickler des Exploits, der sich hinter dem Pseudonym Nightmare Eclipse verbirgt, hat das Protokoll für die verantwortungsvolle Offenlegung von Schwachstellen verletzt. Anstatt das Microsoft Security Response Center (MSRC) zu benachrichtigen, hat er die Daten sofort öffentlich zugänglich gemacht. Der Schwachstelle wurde bisher keine offizielle CVE-Identifikationsnummer zugewiesen, und Microsoft hat erst interne Ermittlungen eingeleitet.

Bis zur Veröffentlichung eines offiziellen Patches müssen Systemadministratoren auf kompensierende Maßnahmen zurückgreifen. Experten empfehlen:

  • Einführung von Windows Defender Application Control (WDAC) oder AppLocker-Richtlinien, um nicht signierte ausführbare Dateien zu blockieren.
  • Konfiguration von SIEM-Systemen zur Überwachung anomaler Aufrufe der API-Funktion CreateProcessWithLogonW mit der Flagge LOGON_WITH_PROFILE.
  • Strenge Einhaltung des Prinzips der geringsten Rechte und Isolierung kritischer Netzwerkknoten.

Die Situation mit LegacyHive zeigt anschaulich, dass Systeme auch nach der Installation der neuesten Updates verwundbar bleiben, wenn kein umfassender Ansatz für Schutz und Prozessüberwachung angewendet wird.