HardBreacher: Exploit zur Rechteausweitung in Kaspersky Endpoint Security veröffentlicht

Ein unter dem Namen Nightmare Eclipse oder Chaotic Eclipse bekannter Sicherheitsforscher hat kürzlich HardBreacher veröffentlicht, einen Proof-of-Concept-Exploit für Kaspersky Endpoint Security. Der Code zielt auf den Prozess ab, der die Benutzeroberfläche des Produkts verwaltet, und könnte bestimmte Sicherheitsentscheidungen des Endpoints beeinträchtigen.

Kaspersky erklärte, das Problem bereits behoben zu haben. Die Lösung wird über ein automatisches Update verteilt. Alternativ können Benutzer die Aktualisierung der Produktdatenbanken manuell starten.

Zum 31. August 2026 fehlen jedoch mehrere für eine genaue Eingrenzung der Betroffenheit erforderliche Informationen: Die verwundbaren Versionen sind nicht bekannt, eine CVE wurde nicht genannt und eine vollständige Beschreibung der Angriffsvoraussetzungen liegt nicht vor.

HardBreacher greift den Kaspersky-Benutzeroberflächenprozess an

Nightmare Eclipse beschreibt HardBreacher als unausgereiften, aber funktionsfähigen Exploit. Das Ziel ist der Benutzeroberflächenprozess von Kaspersky Endpoint Security. Über diesen Prozess soll der PoC sowohl die Steuerung der Oberfläche als auch bestimmte Schutzfunktionen beeinflussen können.

Nach Angaben des Forschers kann die Ausführung des Exploits zum Absturz oder zu Fehlfunktionen des Produkts führen. Die kritischste Auswirkung betrifft jedoch die Verarbeitung von Dateizugriffen: HardBreacher könnte es ermöglichen, Vorgänge zu genehmigen oder abzulehnen, für die unter normalen Bedingungen eine andere Entscheidung getroffen werden müsste.

Dieses Verhalten würde die Integrität der vom Sicherheitsprodukt getroffenen Entscheidungen beeinträchtigen. Ein Angreifer könnte daher versuchen, das auf dem Endpoint installierte Produkt auszunutzen, um nicht vorgesehene Fähigkeiten zu erlangen, anstatt lediglich dessen Oberfläche sichtbar zu deaktivieren.

Das Problem wird als Privilege-Escalation-Schwachstelle eingestuft. Bei erfolgreicher Ausnutzung könnten sich die Auswirkungen auf das gesamte Betriebssystem erstrecken. Eine vollständige technische Angriffskette, die den Weg von der Interaktion mit dem verwundbaren Prozess bis zur endgültigen Kompromittierung nachvollziehbar darstellt, liegt jedoch nicht vor.

Verwundbare Versionen und Angriffsbedingungen sind nicht bekannt

Eine Liste der betroffenen Releases wurde nicht veröffentlicht. Daher lässt sich nicht feststellen, welche Installationen von Kaspersky Endpoint Security vor der Bereitstellung der Korrektur verwundbar waren.

Auch weitere wichtige Informationen fehlen:

• eine CVE-Kennung;
• die Nummer der korrigierten Version;
• ein technisches Sicherheitsbulletin des Herstellers;
• eine numerische Bewertung des Schweregrads;
• die erforderlichen Ausgangsberechtigungen;
• eine eventuell notwendige Benutzerinteraktion;
• die Frage, ob bereits lokaler Zugriff auf den Endpoint erforderlich ist;
• eine reproduzierbare Beschreibung der Angriffskette.

Insbesondere die Einstufung als Privilege Escalation deutet auf einen Übergang von zunächst eingeschränkten zu höheren Berechtigungen hin. Die Voraussetzungen für diesen Übergang wurden jedoch nicht veröffentlicht. Daher lässt sich nicht sagen, ob der Angriff die lokale Ausführung von Code, eine authentifizierte Sitzung oder andere Voraussetzungen erfordert.

Auch das Ausmaß der potenziell betroffenen Installationsbasis bleibt unklar. Ohne Versionsnummern können Unternehmen keine ausschließlich auf dem Softwareinventar beruhende Prüfung durchführen. Stattdessen müssen sie direkt kontrollieren, ob die von Kaspersky vorgesehenen Updates erfolgreich eingegangen sind.

Die Veröffentlichung des PoC erhöht das Risiko, belegt aber keine aktive Ausnutzung

Die öffentliche Verfügbarkeit von HardBreacher senkt die technischen Hürden für die Analyse und Reproduktion der Schwachstelle. Ein Proof of Concept kann von anderen Akteuren als seinem Urheber untersucht, angepasst und in zuverlässigere Werkzeuge integriert werden.

Dies bedeutet allein jedoch nicht, dass bereits Angriffe stattfinden. Es gibt weder eine Bestätigung für den Einsatz von HardBreacher in laufenden Kampagnen noch wurden auf die Ausnutzung der Schwachstelle zurückgeführte Indicators of Compromise veröffentlicht.

Das Profil des Forschers erfordert dennoch Vorsicht. In den vergangenen Monaten hat Nightmare Eclipse zahlreiche PoCs veröffentlicht, die sich vor allem auf Schwachstellen in Windows und Microsoft Defender konzentrierten. Seine Aktivitäten sollen aus Unzufriedenheit mit Microsofts Umgang mit Sicherheitsmeldungen entstanden sein.

Die meisten dieser Exploits sollen auf Demonstrationszwecke beschränkt geblieben sein. Einige wurden jedoch später von Angreifern in realen Attacken eingesetzt. Dieser Präzedenzfall beweist nicht, dass HardBreacher bereits als Waffe eingesetzt wird, spricht aber dagegen, ihn als bloße Forschungsübung abzutun.

Ob die Schwachstelle im Katalog Known Exploited Vulnerabilities der CISA enthalten ist, ist nicht bekannt. Weder ein Aufnahmedatum in den KEV-Katalog noch eine Frist für die Behebung durch Bundesbehörden wurde genannt. Das Fehlen dieser Informationen verhindert eine Einstufung als offiziell anerkannte, aktiv ausgenutzte Schwachstelle.

ShieldBreak und LegacyHive gehören zur selben Veröffentlichungsreihe

HardBreacher ist nicht das einzige Werkzeug, das Nightmare Eclipse kürzlich veröffentlicht hat. Dem Forscher werden auch ShieldBreak und LegacyHive zugeschrieben, die beide als Exploits zur Rechteausweitung vorgestellt wurden.

ShieldBreak soll es einem Angreifer ermöglichen, eine Shell mit System-Berechtigungen zu starten – der höchsten Berechtigungsstufe im gewöhnlichen Windows-Kontext. LegacyHive wird allgemeiner mit einer Privilege-Escalation-Schwachstelle in Verbindung gebracht.

Für diese beiden Werkzeuge wurden weder Anbieter noch Produkte oder mögliche zugehörige CVEs genannt. Daher lässt sich über die gemeinsame Zuordnung zum Forscher und die behandelte Art der Schwachstellen hinaus kein direkter technischer Zusammenhang mit Kaspersky Endpoint Security feststellen.

Die Abfolge zeigt jedoch eine Strategie, bei der regelmäßig demonstrativer Code veröffentlicht wird. Für Verteidiger verkürzt dies die Zeitspanne zwischen der Offenlegung einer Schwachstelle und ihrer möglichen Überarbeitung durch Angreifer.

Kaspersky verteilt die Korrektur über automatische Updates

Kaspersky erklärte, das von HardBreacher ausgenutzte Problem behoben zu haben. Die Korrektur wird über ein automatisches Produktupdate bereitgestellt.

Benutzer können außerdem manuell ein Datenbankupdate starten. Ein konkretes Korrekturpaket oder eine Mindestversion, anhand derer sich das Vorhandensein des Patches unmittelbar überprüfen ließe, wurde nicht genannt.

Damit ist die Kontrolle des Update-Ergebnisses entscheidend. Es reicht nicht aus, davon auszugehen, dass die automatische Verteilung erfolgreich war: Offline-Endpoints, Kommunikationsfehler oder Probleme bei der Verwaltung können dazu führen, dass einzelne Systeme hinter dem übrigen Unternehmen zurückbleiben.

Administratoren sollten daher:

1. überprüfen, ob Kaspersky Endpoint Security die automatischen Updates erhalten hat;
2. auf Systemen mit veraltetem Update-Stand oder ohne Verbindung zur zentralen Verwaltung das Datenbankupdate manuell starten;
3. den Produktstatus nach dem Vorgang kontrollieren;
4. Endpoints identifizieren, die Fehler, deaktivierte Schutzfunktionen oder nicht abgeschlossene Updates anzeigen;
5. Systeme priorisieren, auf denen Benutzer oder nicht vertrauenswürdige Prozesse Code ausführen können.

Da keine verwundbaren Versionen genannt wurden, besteht die vorsichtigste Strategie darin, alle betroffenen Installationen zu aktualisieren, statt den Eingriff auf ein bestimmtes Release zu beschränken.

Abstürze und unerwartete Dateizugriffsentscheidungen sind die wichtigsten Anzeichen

Es wurden keine Hashes, Dateinamen, Netzwerkadressen oder anderen technischen Indicators of Compromise veröffentlicht, die direkt mit HardBreacher in Verbindung stehen. Die Überwachung sollte sich daher auf die für den Exploit beschriebenen Verhaltensweisen konzentrieren.

Zu den wichtigsten Anzeichen gehören Abstürze der Kaspersky-Endpoint-Security-Oberfläche, der plötzliche Verlust von Schutzfunktionen sowie unerwartete Änderungen daran, wie das Produkt den Zugriff auf Dateien genehmigt oder blockiert.

Auch wiederholte Fehlfunktionen des Benutzeroberflächenprozesses verdienen insbesondere dann eine Untersuchung, wenn sie zeitgleich mit ungewöhnlichen lokalen Aktivitäten auftreten. Für sich genommen belegen sie keinen Exploit-Versuch: Sie können auch durch Softwarefehler oder fehlerhafte Konfigurationen verursacht werden. Sie sollten jedoch mit den Endpoint-Logs und möglichen Änderungen des Schutzstatus korreliert werden.

Die Installation der Korrektur hat weiterhin höchste Priorität. HardBreacher ist öffentlich verfügbar, während die für eine selektive Bewertung der Betroffenheit erforderlichen Details fehlen. In dieser Situation bieten Aktualisierung und operative Überprüfung eine konkretere Abwehr als eine Bewertung auf Grundlage weiterhin unvollständiger Informationen.