Windows EPM-Schwachstelle: Neue Angriffsmethoden aufgedeckt

LONDON (IT BOLTWISE) – Eine kürzlich entdeckte Schwachstelle im Windows Remote Procedure Call (RPC)-Protokoll könnte Angreifern ermöglichen, sich als legitime Server auszugeben und so privilegierte Zugriffe zu erlangen. Diese Sicherheitslücke, die von Microsoft bereits behoben wurde, wurde auf der DEF CON 33 von Forschern vorgestellt.

Die Sicherheitslücke, die als CVE-2025-49760 bekannt ist, betrifft das Windows Storage System und wurde von Microsoft als Spoofing-Schwachstelle eingestuft. Sie wurde im Juli 2025 im Rahmen des monatlichen Patch Tuesday-Updates behoben. Die Entdeckung dieser Schwachstelle wurde von Ron Ben Yizhak von SafeBreach auf der DEF CON 33 vorgestellt.

Das Windows RPC-Protokoll nutzt universell eindeutige Bezeichner (UUIDs) und einen Endpoint Mapper (EPM), um dynamische Endpunkte in Client-Server-Kommunikationen zu ermöglichen. Die Schwachstelle erlaubt es, einen zentralen Bestandteil des RPC-Protokolls zu manipulieren und einen sogenannten EPM-Poisoning-Angriff durchzuführen. Dadurch können unprivilegierte Benutzer sich als legitime, integrierte Dienste ausgeben und geschützte Prozesse dazu bringen, sich gegen einen beliebigen Server zu authentifizieren, den der Angreifer auswählt.

Der Angriff ähnelt dem DNS-Poisoning, bei dem ein Bedrohungsakteur DNS-Daten manipuliert, um Benutzer auf bösartige Websites umzuleiten. Im Fall des EPM-Poisoning wird der Endpoint Mapper manipuliert, um RPC-Clients zu täuschen und lokale oder domänenweite Privilegieneskalationen zu erreichen.

Ben Yizhak war überrascht, dass es keine Sicherheitsüberprüfungen gab, die ihn daran hinderten, bekannte, integrierte Schnittstellen zu registrieren, die zu Kerndiensten gehören. Dies öffnet die Tür für Angriffe, bei denen Angreifer Schnittstellen registrieren können, bevor die Originaldienste dies tun, insbesondere bei Diensten mit manuellem Start.

SafeBreach hat ein Tool namens RPC-Racer veröffentlicht, das unsichere RPC-Dienste identifizieren kann. Dieses Tool kann auch verwendet werden, um einen geschützten Prozess zu manipulieren, um die Maschinenkonten-Anmeldeinformationen gegen einen vom Angreifer ausgewählten Server zu authentifizieren. Die PPL-Technologie, die mit Windows 8.1 eingeführt wurde, soll sicherstellen, dass das Betriebssystem nur vertrauenswürdige Dienste und Prozesse lädt.

Der gesamte Angriff verläuft in mehreren Schritten: Zunächst wird eine geplante Aufgabe erstellt, die beim Anmelden des aktuellen Benutzers ausgeführt wird. Dann wird die Schnittstelle des Storage Service registriert, um den Delivery Optimization Service dazu zu bringen, eine RPC-Anfrage an den Storage Service zu senden, die dann mit dem dynamischen Endpunkt des Angreifers verbunden wird.

Durch den Aufruf der Methode GetStorageDeviceInfo() wird der Delivery Optimization Service dazu gebracht, sich mit einem bösartigen SMB-Server zu verbinden, der von den Angreifern eingerichtet wurde. Dies führt dazu, dass die NTLM-Hashes der Maschinenkonten offengelegt werden, die dann für eine Privilegieneskalation genutzt werden können.

SafeBreach betont, dass die EPM-Poisoning-Technik auch für Man-in-the-Middle- und Denial-of-Service-Angriffe erweitert werden könnte. Sicherheitsprodukte sollten daher Aufrufe zu RpcEpRegister überwachen und Event Tracing for Windows (ETW) nutzen, um solche Angriffe besser zu erkennen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!