Mobile-Menu

NTLM ist angreifbar Zero-Day-Schwachstelle gefährdet Millionen Windows-Geräte

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

WatchGuard Technologies GmbH
Soft & Cloud GmbH

Indem sie Passwort-Hashes auslesen, geben sich Cyberkriminelle als authentifizierte Benutzer aus. Betroffen von dieser Schwachstelle sind alle Windows-Versionen. 0Patch hat einen Micropatch veröffentlicht, Microsoft schweigt bisher zu der Schwachstellenmeldung.

Für eine Sicherheitslücke, die alle Windows-Versionen ab Windows 7 und Server 2008 R2 betrifft, gibt es noch keinen Patch von Microsoft.(Bild: Dall-E / KI-generiert)
Für eine Sicherheitslücke, die alle Windows-Versionen ab Windows 7 und Server 2008 R2 betrifft, gibt es noch keinen Patch von Microsoft.
(Bild: Dall-E / KI-generiert)

Die Cyberanalysten von 0Patch haben haben jüngst eine Sicherheitslücke entdeckt, die alle Windows-Workstation- und Server-Versionen ab Windows 7 und Server 2008 R2 bis zu den aktuellen Versionen Windows 11 v24H2 und Server 2022 betrifft. Cyberangreifer, die diese Schwachstelle ausnutzen, können die NTLM-Anmeldeinformationen eines Nutzers erlangen, indem sie ihn dazu bringen, eine manipulierte Datei im Windows Explorer anzusehen. Passieren kann dies, wenn der Benutzer beispielsweise einen freigegebenen Ordner oder ein USB-Laufwerk mit einer solchen Datei öffnet oder den Download-Ordner anzeigen lässt, in dem die Datei zuvor automatisch von einer bösartigen Webseite heruntergeladen wurde.

Da die Sicherheitslücke so viele Versionen von Windows betrifft, könnten potenziell Millionen von Geräten weltweit bedroht sein. Nicht nur Endanwender, sondern auch unternehmenskritische Server sind gefährdet.

Pass-the-Hash-Angriffe möglich

Der New Technology LAN Manager (NTLM) ist ein Authentifizierungsprotokoll von Microsoft, welches in den Windows-Systemen verwendet wird. Er dient der sicheren Anmeldung von Benutzern in Windows-Netzwerken. Durch die Offenlegung von NTML-Hashes sind sogenannte „Pass-the-Hash“-Cyberangriffe möglich. Dabei können sich Cyberkriminelle ohne das Klartextpasswörter zu kennen – und nur die Hashes der Passwörter zu nutzen – als der betroffene Nutzer ausgeben und scheinbar legitime Aktionen durchführen.

0Patch hat das Problem an Microsoft gemeldet und Micropatches für die Zero-Day-Schwachstelle veröffentlicht, die kostenlos bleiben, bis Microsoft einen offiziellen Patch herausgibt. Dies sei bereits der dritte Zero Day in Windows, den die Analysten kürzlich gefunden und an Microsoft gemeldet hätten. Die Spoofing-Schwachstelle wie auch die Sicherheitslücken in Windows Server 2012 und Server 2012 R2 würden noch immer auf Hersteller-Patches warten.

Kerberos löst NTLM ab

Neben des Aufspielen des von 0Patch bereitgestellten Micropatches, sollten Admins sich überlegen, von NTLM auf Kerberos umzusteigen. Microsoft hat im November 2024 angekündigt, dass alle Versionen von NTLM, einschließlich LANMAN, NTLMv1 und NTLMv2, nicht mehr weiterentwickelt werden. Somit gilt NTLM offiziell als veraltet. Allerdings wird die Nutzung von NTLM in zukünftigen Versionen von Windows weiterhin möglich sein. Jedoch empfiehlt Microsoft statt NTLM das Negotiate-Protokoll einzusetzen. Negotiate versucht die Authentifizierung über Kerberos durchzuführen und greift Microsoft zufolge nur auf NTLM zurück, wenn Kerberos nicht verfügbar ist.

NTML Kerberos
Einführung 1993 mit Windows NT 2000 mit Windows 2000
Sicherheitsniveau Gering, keine Mutual-Authentifizierung, kein Single-Sign-On, schwächere Verschlüsselung, anfällig für Pass-the-Hash-Angriffe Hoch, basiert auf Mutual-Authentifizierung und Single-Sign-On, stärkere Verschlüsselung
Infrastruktur einfach zu implementieren, keine zentrale Autorität erforderlich komplexer zu implementieren, benötigt ein Key Distribution Center (oft in Active Directory integriert)
Anwendung In Legacy-Systemen und als Fallback In modernen Netzwerken und im Active Directory

Grundsätzlich ist Kerberos moderner und sicherer als NTML. Dennoch setzen viele Unternehmen NTML nach wie vor in Legacy-Systemen und als Fallback ein. Allerdings sollte es in einer gut konfigurierten Domäne keinen Bedarf für einen separaten Fallback geben. Laut Microsoft bleibt NTLM als Fallback jedoch in Negotiates enthalten, um Kompatibilitätsprobleme während der Umstellung zu verringern.

(ID:50263289)

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte

Jobs