Die Sicherheitslücke BlueHammer nutzt eine Race-Condition (TOCTOU-Schwachstelle) im Signatur-Update-Mechanismus von Microsoft Defender aus. Der Exploit arbeitet mit sogenannten Oplocks – spezielle Betriebssystem-Sperrmechanismen – um Defenders Operationen zu unterbrechen und dann eine Signatur-Aktualisierung zu initiieren. Dies zwingt Defender dazu, die Security Account Manager (SAM) Datenbank in ein öffentliches Verzeichnis zu kopieren, wo der Angreifer sie extrahieren kann.
Die technische Funktionsweise ist bemerkenswert: Der Exploit parst die SAM-Hive-Datei, dekryptiert die NT-Hashes aller Benutzer und kann dann Passwörter manipulieren, um Session-Token mit administrativen Rechten zu generieren. Dies führt zu vollständigen Systemrechten.
Doch BlueHammer ist nicht das einzige Werkzeug im Arsenal der Angreifer. Der ursprüngliche Forscher veröffentlichte auch zwei weitere Exploit-Methoden: RedSun und UnDefend. RedSun manipuliert kritische Systemdateien, um Defender dazu zu bringen, eine Malware-Kopie in das System32-Verzeichnis zu platzieren. UnDefend wiederum deaktiviert Defender komplett, indem es Definitions-Dateien sperrt und so die Antivirus-Software handlungsunfähig macht.
Die Sicherheitsfirma Huntress dokumentierte reale Angriffe zwischen dem 10. und 16. April. Dabei wurden Angreifer über FortiGate SSL-VPN-Gateways in Netzwerke eindringen. Verdächtige IP-Adressen wurden in Russland und anderen Regionen geolokalisiert. Die Angreifer zeigten allerdings mangelndes technisches Know-how bei der Exploitation – ihre Versuche scheiterten, führten aber zu manuellen Aufklärungsaktivitäten vor Ort.
Bemerkenswert ist, dass die Angreifer Dateien aus typischen Benutzer-Verzeichnissen wie dem Pictures-Ordner oder Downloads staging und ausführten – eine klassische Taktik, um die Erkennung durch Sicherheitssysteme zu erschweren.
Die US-amerikanische Cybersecurity-Behörde CISA hat die Lücke als aktiv ausgenutzt in ihr Katalog der bekannten Exploited Vulnerabilities aufgenommen und fordert Bundesbehörden auf, bis zum 6. Mai zu patchen. Dies unterstreicht die ernst zu nehmende Bedrohung. Für deutsche Organisationen ist ein sofortiges Einspielen des April-Security-Updates essentiell.