#Netzwerk & Sicherheit · 4 Min. Lesezeit · Tim Rinkel

ALARM! Ein Gratis-Exploit macht dich zum SYSTEM — CrowdStrike hat noch keinen Patch

ALARM! Ein Gratis-Exploit macht dich zum SYSTEM — CrowdStrike hat noch keinen Patch

Das ist die Art von Nachricht, die Sicherheitsverantwortlichen den Kaffee kalt werden lässt: Ausgerechnet die Schutzsoftware wird zum Einfallstor. Ein anonymer Forscher, der unter dem Namen „Nightmare Eclipse“ auftritt, hat am 3. September einen Exploit für CrowdStrike Falcon veröffentlicht. Der Name: FalconFlank. Und er tut genau das, was der Name andeutet — er umgeht die Wache, statt sie zu bezwingen.

SO funktioniert der Trick

Falcon hat eine Aufräumfunktion: Findet die Software in einer Office-Datei ein verdächtiges Makro, entfernt sie es. Klingt nach einer guten Idee — und ist es auch. Nur läuft diese Bereinigung, wie so vieles bei Schutzsoftware, mit sehr hohen Rechten. Genau da setzt FalconFlank an.

Der Exploit bringt diese hochprivilegierte Aufräumroutine dazu, statt eines Makros etwas anderes auszuführen: eine Eingabeaufforderung mit SYSTEM-Rechten. SYSTEM ist unter Windows die höchste Stufe — höher als Administrator. Wer dort landet, kann alles: Dienste manipulieren, Zugangsdaten aus dem Speicher fischen, die Schutzsoftware selbst lahmlegen.

Wichtig für die Einordnung: Das ist keine Lücke, die jemand aus dem Internet heraus auslöst. Ein Angreifer muss bereits auf dem Rechner sein — mit ganz normalen Nutzerrechten, etwa nach einer erfolgreichen Phishing-Mail. FalconFlank ist der zweite Schritt, nicht der erste. Aber genau dieser zweite Schritt ist es, der aus einem gekaperten Bürorechner einen Brückenkopf ins ganze Netz macht.

BETROFFEN: aktuelle Systeme, nicht Altlasten

Besonders unangenehm: Der Exploit funktioniert laut Veröffentlichung gegen vollständig gepatchte Systeme — konkret Windows 11 25H2 und Windows Server 2025 mit aktuellem Falcon-Sensor. Es hilft dir also nicht, dass du brav alle Updates eingespielt hast. Die Voraussetzung ist eine ganz normale, sinnvolle Einstellung: die Richtlinie „Microsoft Office File Suspicious Macro Removal“.

Der Stand: kein CVE, kein Patch, ein Workaround

CrowdStrike hat den Befund bislang nicht bestätigt. Es gibt zum Redaktionsschluss:

  • keine CVE-Nummer
  • keinen CVSS-Wert
  • keinen Patch

Was es gibt, ist eine Empfehlung: Das Unternehmen rät Kunden, die Richtlinie zur Entfernung verdächtiger Office-Makros abzuschalten, solange die eigene Prüfung läuft. Das ist ein klassischer Zielkonflikt — du gibst eine Erkennungsfunktion auf, um einen Angriffsweg zu schließen.

SO gehst du jetzt vor

Wenn in deinem Umfeld Falcon läuft — im Büro, beim Kunden, im Testlabor —, arbeite diese vier Punkte ab:

  1. Richtlinie prüfen. In der Falcon-Konsole unter Prevention Policies nachsehen, ob die Makro-Entfernung aktiv ist.
  2. Vorübergehend abschalten, solange CrowdStrike keine Entwarnung gibt. Notiere dir das Datum, damit du es später nicht vergisst.
  3. Andere Makro-Schutzwälle hochziehen. Office-Makros aus dem Internet blockiert Windows ohnehin standardmäßig — prüfe, ob diese Gruppenrichtlinie bei dir wirklich greift.
  4. Auf Auffälligkeiten achten. Unerwartete cmd.exe-Prozesse mit SYSTEM-Rechten sind das Warnsignal schlechthin.

Die unbequeme Lehre

Sicherheitssoftware braucht hohe Rechte, um ihren Job zu machen. Genau das macht sie zu einem attraktiven Ziel: Wer den Wächter übernimmt, muss die Mauer nicht überklettern. FalconFlank ist kein Einzelfall — Angriffe über Schutzsoftware haben in den vergangenen Jahren spürbar zugenommen, weil dort die Rechte liegen.

Für dein eigenes Netz heißt das nicht, auf Schutzsoftware zu verzichten. Es heißt, sie nicht als letzte Verteidigungslinie zu behandeln. Getrennte Netzsegmente, Konten mit möglichst wenig Rechten und Sicherungen, an die ein kompromittierter Rechner nicht herankommt, wirken auch dann noch, wenn der Wächter selbst ausfällt.

FAZIT: abschalten, beobachten, ruhig bleiben

FalconFlank ist ernst, aber kein Weltuntergang: Ein Angreifer braucht zuerst einen Fuß in der Tür. Trotzdem gehört die Makro-Richtlinie jetzt vorübergehend aus, und du solltest die Mitteilungen von CrowdStrike im Blick behalten. Sobald ein Sensor-Update kommt, schaltest du die Funktion wieder ein.

Häufige Fragen

Welche Systeme sind betroffen?
Nach Angaben des Veröffentlichers funktioniert der Exploit auf vollständig gepatchten Installationen von Windows 11 25H2 und Windows Server 2025, sofern dort der CrowdStrike-Falcon-Sensor läuft und die Richtlinie zur Entfernung verdächtiger Office-Makros aktiv ist. Ohne diese Richtlinie greift der beschriebene Weg nicht.
Wie merke ich, ob mein System verwundbar ist?
Schau in der Falcon-Konsole in die Prevention Policy und prüfe, ob „Microsoft Office File Suspicious Macro Removal“ eingeschaltet ist. Ist die Option aktiv, gehörst du zur betroffenen Gruppe. Der Angriff setzt außerdem voraus, dass jemand bereits mit normalen Nutzerrechten auf dem Rechner ist — es ist keine Lücke, die aus dem Internet heraus funktioniert.
Wie behebe ich das Problem konkret?
Einen Patch gibt es zum Redaktionsschluss nicht. CrowdStrike empfiehlt, die Richtlinie zur Makro-Entfernung vorübergehend abzuschalten, solange die Prüfung läuft. Das kostet dich eine Erkennungsfunktion, schließt aber den beschriebenen Weg. Beobachte zusätzlich, ob auf betroffenen Rechnern unerwartet Eingabeaufforderungen mit hohen Rechten gestartet werden.
Gab es schon aktive Angriffe?
Bestätigt ist das bislang nicht. Was feststeht: Der Beispielcode wurde am 3. September öffentlich auf GitHub veröffentlicht. Erfahrungsgemäß verkürzt das die Zeit bis zu ersten echten Angriffen erheblich, weil Angreifer den Code nicht mehr selbst entwickeln müssen.

Quellen

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert