Die Schwachstelle von Windows, die Anmeldeinformationen ohne Interaktion stehlen und wird bereits in der realen Welt ausgenutzt

Microsoft aktualisiert seine Warnung in dieser Woche über einen Sicherheitsversagen in Windows Shell - CVE-2026-32202 - und bestätigt, dass es bereits in der realen Welt genutzt wird. Obwohl die offizielle CVSS-Score moderat ist, liegt die praktische Bedeutung dieses Fehlers in seiner Rolle innerhalb einer Bedienkette und in der Leichtigkeit, mit der es scheinbar harmlose Dateien in uninteragierende Anmelde-Theft-Vektoren umwandeln kann.

In technischer Hinsicht ist die Verwundbarkeit Nichtvertrauensprüfung bei der Lösung von UNC-Routen, die einen automatischen Zugriff auf eine entfernte Ressource (z.B. eine .cpl-Datei, die vom Windows Shell-Mechanismus über einen SMB-Zugang geladen wird) ermöglicht, um eine ausgehende SMB-Verbindung von der Opfermaschine zu einem vom Angreifer gesteuerten Server auszulösen. Diese Verbindung bewirkt einen NTLM-Austausch, der den Net-NTLMv2 Hash des Benutzers filtern kann, der dann durch Relais oder Offline-Angriffe ausnutzbar ist. In der Praxis erschien diese Dynamik nach einem teilweisen Patch, der zuvor auf CVE-2026-21510 angewendet wurde, und nach Forschern verknüpft sie die Kampagne zur Gruppe APT28 (Fancy Bear).

Das von entdeckte Missbrauchsmuster kombiniert LNK-Dateien (Direktzugriffe), die Namensauflösung in Shells Namensraum aktivieren und wiederum eine DLL / CPL von einer entfernten UNC-Ressource laden. Die große Bedrohung war nicht so sehr das Laufen von direkten Remote-Code, sondern die Diebstahl von Anmeldeinformationen, die seitliche Bewegung und spätere Angriffe erleichtert.. Dies erklärt, warum Akteure mit spezifischen Fähigkeiten und Zielen, wie APT28, diese Techniken in gezielte Kampagnen in der Ukraine und der Europäischen Union eingebunden haben.

Für Organisationen und Manager sind die operativen Auswirkungen klar: Patching ist notwendig, aber nicht ausreichend. Microsoft korrigierte bereits den Fehler in der letzten monatlichen Patch, so dass die erste zwingende Aktion ist, Sicherheitsupdates auf alle betroffenen Endpunkte und Server anzuwenden. Darüber hinaus ist es angezeigt, zu validieren, dass die Patches korrekt eingesetzt wurden und die Sicherheitsindikatoren in ihrem Patch-Inventar überprüft wurden. Sie können den Microsoft Security Guide für diese CVE und entsprechende Updates auf der offiziellen Microsoft Security Response Center Seite überprüfen: Microsoft Security Response Center.

Über den Patch hinaus gibt es defensive Maßnahmen, die sowohl die Wahrscheinlichkeit als auch die Auswirkungen dieser Art von Missbrauch reduzieren. Zu den wirksamsten gehören die Beschränkung des ausgehenden SMB-Verkehrs auf das Internet (Block TCP / 445 von Workstations und Servern, die nicht extern kommunizieren müssen), die Freigabe und Anforderung von SMB-Unterzeichnung, wo es gilt, die Konfiguration von Gruppenrichtlinien, die die automatische Auflösung von UNC-Strecken von unsicheren Umgebungen und die Deaktivierung unnötiger Dienste verhindern, die Remote-Ressourcen lösen können. Es wird auch empfohlen, die Verwendung der starken und Multifaktor-Authentifizierung zu erhöhen, um den Wert von schließlich gefangenen Hashes zu mindern.

Im Bereich der Erkennung sollten Sicherheitsteams auf unerwartete NTLM-Authentifizierungsereignisse gegenüber externen Domänen achten, UNC-Resolution versucht, Off-Network-Hosts und die mit CPL-Lastungen oder LNK-Direktzugriffen verbundene Ausführung zu verfolgen. EDR / MDR-Produkte sollten die dynamische Belastung von DLLs aus entfernten Quellen und typischen NTLM-Relais-Aktivitätsmustern blockieren oder alarmieren. Inhouse-Lieferanten und Ausrüstungen haben begonnen, technische Analysen zu veröffentlichen; um die ursprüngliche Forschung und ihren technischen Kontext zu verstehen, kann die Industrie-Forschungsanalyse und Blog auf der Akamai-Website konsultiert werden: Akamai Security Blog.

Letztendlich zeigt diese Serie von Fehlern eine wiederkehrende Lektion: partielle Minderung kann Restvektoren verlassen, die anspruchsvolle Schauspielerkette mit anderen Schwachstellen. Moderne Verteidigung erfordert komplette Patches, Netzwerksegmentierung, Festziehen von Authentifizierungsprotokollen und kontinuierliche Überwachung. Prüfen Sie Ihre SMB-Ausgangssteuerungen, validieren Sie SmartScreen-Einstellungen und andere Quellenschutz, und behandeln Sie NTLM hathes als hochrisikobehaftete Berechtigungen: Nehmen Sie an, dass sie, wenn sie frei sind, Rotation und sofortige kompensatorische Maßnahmen erfordern.