Windows search:-URI leakt NTLMv2-Hashes

Die Sicherheitsfirma Huntress hat eine Lücke offengelegt, die so simpel wie ärgerlich ist: Ein einziger Klick auf einen präparierten Link genügt — und Windows schickt den NTLMv2-Hash deines Kontos an einen Server des Angreifers. Noch bevor überhaupt eine Fehlermeldung erscheint. Das Bitterste daran: Microsoft will nicht patchen.

SO FUNKTIONIERT DER TRICK

Schuld ist der URI-Handler search:, mit dem Windows Suchanfragen entgegennimmt. Er akzeptiert einen Parameter namens crumb=location: — und reicht den ungeprüft weiter. Trägt ein Angreifer dort einen UNC-Pfad zu seinem eigenen Server ein (etwa \\angreifer-ip\share), versucht Windows brav, sich dort zu verbinden — und sendet dabei automatisch die Net-NTLMv2-Authentifizierung des angemeldeten Nutzers. Kein Exploit, keine Malware, keine Admin-Rechte: nur ein Klick auf einen Link, der den Handler aufruft.

DÉJÀ-VU: Dieselbe Lücke, neues Gewand

Besonders pikant: Das ist exakt das Verhaltensmuster von CVE-2026-33829 — einer Schwachstelle im Snipping Tool, die Microsoft gerade erst gepatcht hatte. Nur einen Tag nach dem Patch fand sich derselbe Mechanismus im search:-Handler wieder, mit anderem Parameter, gleichem COM-Aktivierungspfad in der ExplorerFrame.dll und identischem Hash-Leak. Microsofts Security Response Center bewertete den Fund trotzdem als „Moderate“ — unterhalb der Patch-Schwelle. Es gibt keine CVE-Nummer und keinen Fix.

GEFAHR: Was Angreifer mit deinem Hash anstellen

Ein NTLMv2-Hash ist nicht dein Klartext-Passwort — aber er lässt sich offline knacken (bei schwachen Passwörtern eine Sache von Stunden) oder in Relay-Angriffen direkt gegen andere Dienste im Netzwerk einsetzen. In Firmenumgebungen ist das ein klassischer Einstieg für die Übernahme weiterer Konten. Genau deshalb sind Klick-zu-Hash-Lücken bei Angreifern so beliebt.

SELBSTHILFE: So dichtest du dein System ab

Da kein Patch kommt, bist du selbst dran. Erstens: Ausgehende SMB-Verbindungen (Port 445) ins Internet an der Firewall blocken — damit laufen die meisten Hash-Leak-Tricks ins Leere. Zweitens: Per Gruppenrichtlinie die NTLM-Nutzung einschränken („Ausgehenden NTLM-Datenverkehr einschränken“) und wo möglich Kerberos erzwingen. Drittens: Lange, einzigartige Passwörter — gegen Offline-Cracking hilft schiere Länge. Und natürlich: gesundes Misstrauen gegenüber Links aus Mails und Chats.

FAZIT: „Below servicing bar“ ist eine Wette

Microsoft wettet darauf, dass die Lücke zu unbequem für Massen-Angriffe ist. Die Geschichte ähnlicher NTLM-Leaks zeigt: Diese Wette ging schon öfter schief. Die Firewall-Regel kostet dich fünf Minuten — investiere sie.

Häufige Fragen

Welche Systeme sind von dem NTLM-Leak betroffen?

Grundsätzlich aktuelle Windows-Systeme, auf denen der search:-URI-Handler aktiv ist und NTLM nicht eingeschränkt wurde — also die Standardkonfiguration. Besonders relevant ist die Lücke in Firmen- und Domänen-Umgebungen, wo erbeutete Hashes für Relay-Angriffe auf weitere Systeme taugen.

Wie merke ich, ob ich angegriffen wurde?

Kaum — genau das macht die Technik gefährlich. Der Hash fließt ab, bevor sichtbar etwas passiert. In Unternehmensnetzen helfen Monitoring auf ausgehende SMB-Verbindungen zu unbekannten Zielen sowie Alarme auf NTLM-Authentifizierungen gegen externe Adressen.

Wie schütze ich mich konkret, wenn Microsoft nicht patcht?

Blockiere ausgehendes SMB (TCP-Port 445) Richtung Internet an Firewall oder Router, schränke NTLM per Gruppenrichtlinie ein und setze auf lange, einzigartige Passwörter, die Offline-Cracking widerstehen. In Domänen lohnt zusätzlich die Umstellung auf Kerberos, wo immer es geht.

Warum patcht Microsoft die Lücke nicht?

Das Microsoft Security Response Center stuft den Fund als „Moderate“ ein und damit unterhalb der Schwelle, ab der ein Sicherheitsupdate ausgeliefert wird („below servicing bar“). Es wurde auch keine CVE-Nummer vergeben — obwohl die fast identische Snipping-Tool-Variante CVE-2026-33829 kurz zuvor noch gepatcht wurde.

Quellen: The Hacker News, Huntress

EIN KLICK reicht! Windows verrät deine Login-Hashes an Angreifer — und Microsoft will NICHT patchen