PhantomRPC setzt an einem grundlegenden Mechanismus von Windows an: RPC dient der Kommunikation zwischen zwei Prozessen und erlaubt es einem Prozess, Funktionen aufzurufen, die in einem anderen Prozess implementiert sind – auch wenn beide in unterschiedlichen Ausführungskontexten laufen.
„Das Betriebssystem erlaubt es, RPC-Server unter demselben Endpunkt einzurichten, der bereits RPC-Servern legitimer Dienste zugewiesen ist – vorausgesetzt, diese Dienste laufen nicht", erklärt Kabibo gegenüber Dark Reading. Auf diese Weise könne jeder Prozess einen RPC-Server bereitstellen, der einen legitimen Dienst nachahmt, und alle Client-Aufrufe entgegennehmen, die eigentlich für den echten Server bestimmt waren. Stammen einige dieser Aufrufe von hoch privilegierten Konten und besitzt der ausführende Prozess das Privileg „SeImpersonatePrivilege", kann ein gering privilegierter Prozess diese Clients imitieren und so seine Rechte ausweiten. In seinem Beitrag auf X beschreibt Kabibo dies als „Architekturproblem".
Als Beispiele für gering privilegierte Konten nennt Kabibo die eingeschränkten Dienstkonten Network Service und Local Service. Gelingt es einem Angreifer, in Diensten unter diesen Identitäten Fuß zu fassen und die Lücke auszunutzen, könne er seine Rechte bis auf SYSTEM-Ebene anheben und die Kontrolle über das gesamte Betriebssystem erlangen.
Die Offenlegung an Microsoft erfolgte über einen zehnseitigen technischen Bericht. Microsoft bewertete die Schwachstelle als nur „moderat", erklärte sie für nicht prämienberechtigt und vergab keine CVE-Nummer; der Fall wurde laut Kabibo ohne weitere Verfolgung geschlossen. Zur Begründung verwies Microsoft darauf, dass der ursprüngliche Prozess bereits über das Privileg „SeImpersonatePrivilege" verfügen müsse – da dies für einen erfolgreichen Angriff typischerweise erforderlich sei, sei keine sofortige Behebung nötig.
Trotz dieser Einschätzung verweist Kabibo auf fünf Angriffswege, die er detailliert beschreibt. Microsoft antwortete auf eine Anfrage von Dark Reading zunächst nicht. Seine Proof-of-Concept-Exploits testete Kabibo auf Windows Server 2022 und Windows Server 2025 mit den jeweils aktuellsten Updates vor dem Einreichungsdatum; eine Ausnutzbarkeit auf weiteren Windows-Versionen hält er für sehr wahrscheinlich. Die PoCs liegen in einem GitHub-Repository.
Im Kern bedeutet dies laut Kaspersky: Jeder Prozess, der einen RPC-Endpunkt registrieren und eine privilegierte Verbindung empfangen kann, lässt sich in einen SYSTEM-Token verwandeln. Rechteausweitung bleibt für Windows-Verteidiger ein zentrales Problem – mehr als die Hälfte der 165 von Microsoft im April gepatchten Schwachstellen war von diesem Typ.
Da kein Patch bevorsteht, empfiehlt Kaspersky zwei grundlegende Schutzmaßnahmen. Zum einen ein Monitoring auf Basis von Event Tracing for Windows, das RPC-Ausnahmen sichtbar macht – insbesondere Fälle, in denen RPC-Clients eine Verbindung zu nicht verfügbaren Servern aufzubauen versuchen. In manchen Fällen lasse sich die Angriffsfläche verringern, indem die entsprechenden Dienste aktiviert und damit die legitimen Endpunkte tatsächlich belegt werden. Zum anderen rät Kabibo, das Privileg „SeImpersonatePrivilege" strikt auf Prozesse zu beschränken, die es zwingend benötigen, statt es eigenen oder Drittanbieter-Prozessen zu gewähren – Letzteres gelte „generell nicht als gute Sicherheitspraxis".