Chaotic Eclipse veröffentlicht RedSun Zero-Day-Exploit
Zweiter Microsoft-Defender-Zero-Day binnen zwei Wochen: Nach BlueHammer veröffentlicht Chaotic Eclipse mit RedSun einen weiteren Defender-LPE-Exploit (CVE-2026-33825) – ungepatcht, mit ~100 % Zuverlässigkeit.
Was ist passiert?
Die Hackergruppe Chaotic Eclipse (auf GitHub Nightmare-Eclipse) hat mit RedSun einen weiteren Zero-Day-Exploit gegen Microsoft Defender öffentlich gemacht. Wichtig: RedSun ist der Exploit, Chaotic Eclipse ist der Akteur.
Technisch handelt es sich um eine lokale Privilege Escalation (LPE) in der Cloud-File-Handling-Logik (cldapi.dll) – getrackt als CVE-2026-33825, CVSS 7.8 (High). Konkret bedeutet das:
- ▸ Betroffen: Windows 10/11 sowie Server 2019/2022/2025 – auch mit den April-2026-Patches
- ▸ Wirkung: Unprivilegierter User wird zu
SYSTEM - ▸ Status: Kein Patch verfügbar – Microsoft hat noch nicht reagiert
- ▸ Zuverlässigkeit des Exploits: nahezu 100 %
Brisant: RedSun ist der zweite Defender-Zero-Day desselben Akteurs binnen zwei Wochen – nach BlueHammer (im April-2026 Patch Tuesday geschlossen).
Faktenbox: CVE & Scope
Wie der Angriff technisch abläuft
RedSun missbraucht die Defender-eigene Bereinigungslogik. Statt eine erkannte Datei zu löschen, schreibt Defender sie – mit SYSTEM-Rechten – an einen vom Angreifer kontrollierten Pfad zurück. Die Kette in fünf Schritten:
- 1
EICAR-Datei via Cloud Files APIUnprivilegierter Prozess schreibt eine harmlose EICAR-Testdatei – Defender wird zur Bereinigung getriggert.
- 2
Opportunistic Lock (oplock)Ein oplock pausiert Defender mitten im Schreibvorgang – kritisches Zeitfenster für die Manipulation entsteht.
- 3
NTFS Junction → C:\Windows\System32Über einen Reparse Point wird das Schreibziel auf System32 umgelenkt – Defender bemerkt die Umleitung nicht.
- 4
Defender überschreibt SYSTEM-BinaryDefender schreibt die Datei mit SYSTEM-Rechten zurück – z. B. TieringEngineService.exe – statt sie zu löschen.
- 5
Trigger der überschriebenen BinaryAngreifer löst die manipulierte Binary aus → Code-Ausführung als SYSTEM. Lokale Privilege Escalation abgeschlossen.
Ironie der Defender-Logik: Das vermeintliche Schutzwerkzeug wird zum Werkzeug des Angreifers – Defender überschreibt selbst kritische System-Binaries wie TieringEngineService.exe.
Quellen-Kontext: Berichterstattung von The Hacker News und cybersecuritynews.com zu drei aktiv ausgenutzten Defender-Zero-Days, davon zwei ungepatcht.
Warum das extrem kritisch ist
Ein Zero-Day wie RedSun ist die Königsklasse der Angriffe – kein gewöhnlicher Bug:
Schutzmechanismen wirkungslos
Klassische Signaturen greifen ins Leere
Antivirus & Firewall umgangen
Verhaltensanalyse ist Pflicht
Automatisierte Angriffe
Massenausnutzung binnen Stunden möglich
Späte Erkennung
Unternehmen merken Angriffe oft erst nach Wochen
Eskalationsdynamik: In Kombination mit der jüngsten BlueHammer-Welle deutet vieles auf eine gezielte Eskalation im Cyberraum hin.
Typische Angriffsszenarien
Auch wenn technische Details zum RedSun-Exploit derzeit begrenzt sind, zeigen vergleichbare Fälle ein klares Muster:
Initialzugriff
Über Webdienste, Remote-Zugänge oder kompromittierte Konten
Laterale Bewegung
Ausbreitung im Netzwerk, Erlangung höherer Rechte
Datenexfiltration
Diebstahl von Kundendaten, Verträgen, Mails
Ransomware-Nachladung
Verschlüsselung kritischer Systeme, Lösegeldforderung
Veröffentlichung im Darknet
Double Extortion: Daten werden zusätzlich geleakt
Besonders gefährdet: KMU, Produktionsbetriebe, Agenturen und Unternehmen ohne aktives Monitoring.
Was du JETZT tun solltest
Auch ohne Patch lässt sich das Risiko durch RedSun massiv reduzieren:
Zugriffe minimieren (LPE-Schutz)
Lokale Adminrechte konsequent abbauen, Standard-User-Härtung, Just-in-Time-Admin nutzen – RedSun ist eine Privilege Escalation, niedrige Rechte = kleinere Angriffsfläche.
Defender-Detection scharf schalten
Monitoring auf anomale Defender-Schreibvorgänge nach C:\Windows\System32, oplock-assistierte Datei-Umleitungen und cldapi.dll-Auffälligkeiten.
Netzwerk segmentieren
Kritische Systeme isolieren, Zugriffsrechte strikt regeln, laterale Bewegung nach LPE verhindern.
Backups prüfen
Offline-Backups sicherstellen, Wiederherstellung testen, 3-2-1-Regel konsequent umsetzen.
Mitarbeiter sensibilisieren
Phishing & Social Engineering ist meist der Initialvektor – Awareness-Trainings durchführen.
Realität: Viele merken es erst, wenn es zu spät ist
Die größte Gefahr ist nicht der Angriff selbst – sondern dass er unbemerkt bleibt. Genau hier setzen moderne Schutzsysteme wie EDR/XDR an: Nicht nur verhindern, sondern Angriffe erkennen, stoppen und nachvollziehen.
Wer RedSun nicht aktiv überwacht, sieht den Angriff erst, wenn die Daten bereits weg sind.
Was bedeutet das für Unternehmen im Kreis Heinsberg & NRW?
Die Bedrohung ist nicht theoretisch. Gerade lokale Unternehmen werden zunehmend Ziel automatisierter Angriffe. Egal ob Heinsberg, Erkelenz, Mönchengladbach oder Düsseldorf: Wer nicht vorbereitet ist, wird vorbereitet.
Wasacon Empfehlung
Nicht warten, bis ein Patch kommt.
Systeme jetzt absichern, überwachen und auf moderne EDR/XDR-Lösungen setzen. Zero-Day = Handlungsbedarf SOFORT.
FAQ zum RedSun Zero-Day
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
