LegacyHive ist ein neuer Windows-Zero-Day, der selbst vollständig gepatchte Systeme betrifft. Microsoft untersucht die Schwachstelle.
Mit LegacyHive sorgt Sicherheitsforscher Nightmare Eclipse erneut für Aufsehen. Der neue Windows-Zero-Day funktioniert selbst auf vollständig aktualisierten Systemen und ermöglicht eine Rechteausweitung auf Administratorniveau. Microsoft untersucht den Fall inzwischen, ein Sicherheitsupdate gibt es bisher jedoch nicht.
Hatte Microsoft im Juli 2026 erst seinen bisher größten Patch Tuesday ausgerollt, taucht aktuell bereits die nächste unangenehme Überraschung auf. Der Sicherheitsforscher Nightmare Eclipse, auch unter dem Namen Chaotic Eclipse bekannt, veröffentlichte einen neuen Proof of Concept (PoC) mit dem Namen LegacyHive. Die Sicherheitslücke betrifft den Windows User Profile Service (ProfSvc) und soll sich selbst auf vollständig gepatchten Windows-Installationen ausnutzen lassen.
Der veröffentlichte Exploit wurde bewusst eingeschränkt und ist somit nicht ohne Weiteres für Massenangriffe geeignet. Dennoch sorgt die Schwachstelle in der Sicherheitsbranche für erhebliche Unruhe. Sicherheitsforscher, darunter Will Dormann und Kevin Beaumont, haben den Exploit getestet bzw. seine Funktionsfähigkeit bestätigt. Microsoft teilte gegenüber BleepingComputer mit, dass der Konzern die gemeldete Schwachstelle untersucht. Ein offizieller Patch oder eine CVE-Kennung existieren derzeit allerdings noch nicht.
LegacyHive nutzt eine Schwäche im Windows User Profile Service
Die Angriffsfläche für den Exploit bildet der Windows User Profile Service, kurz ProfSvc. Der Dienst verwaltet im Hintergrund Benutzerprofile, Registry-Hives und zahlreiche Einstellungen, die beim An- und Abmelden eines Benutzers geladen werden. LegacyHive nutzt dabei eine Schwachstelle in der Verarbeitung dieser Vorgänge aus und ermöglicht eine Rechteausweitung (Privilege Escalation). Dadurch kann ein Benutzer mit eingeschränkten Berechtigungen SYSTEM-Rechte erlangen.
Nach Angaben von Nightmare Eclipse erlaubt die Schwachstelle das gezielte Einbinden fremder Registry-Hives in den Kontext eines anderen Benutzers. Dies ermöglicht Zugriffe auf Bereiche, die ansonsten höher privilegierten Konten vorbehalten sind. Möglich wird dies durch die Kombination mehrerer Windows-Mechanismen. Dazu gehören manipulierte Registry-Strukturen, symbolische Links im Windows Object Manager sowie eine sogenannte TOCTOU-Race-Condition über Oplocks. Auf diese Weise kann der User Profile Service dazu gebracht werden, eine fremde Registry-Hive zu laden.
LegacyHive basiert dabei nicht auf einem klassischen Speicherfehler wie einem Buffer Overflow. Der Exploit missbraucht vielmehr mehrere legitime Windows-Funktionen, die nicht ausreichend abgesichert ist. Sicherheitsanalysen zeigen, dass insbesondere das Zusammenspiel aus Registry-Verarbeitung, Objektverweisen und dem Profil-Ladevorgang des User Profile Service die Grundlage für die Rechteausweitung bildet.
Die Schwachstelle verdeutlicht, dass auch tief in Windows integrierte Systemfunktionen zur Angriffsfläche werden können, selbst auf vollständig aktualisierten Systemen.
Der veröffentlichte Proof of Concept wurde bewusst entschärft
Im Gegensatz zu einigen früheren Veröffentlichungen hat Nightmare Eclipse den öffentlichen Proof of Concept diesmal eingeschränkt. Für eine erfolgreiche Ausführung werden die Zugangsdaten eines zweiten Standardbenutzers sowie zusätzlich der Benutzername eines Zielkontos benötigt. Dabei kann es sich auch um ein Administratorkonto handeln.
Nach erfolgreicher Ausführung wird die UsrClass.dat-Hive des Zielbenutzers im sogenannten Current User Classes Root eingebunden. Dadurch entstehen Möglichkeiten, Registry-Einstellungen anderer Benutzer gezielt zu beeinflussen.
Der Sicherheitsforscher führte jedoch aus, dass diese Einschränkungen ausschließlich der veröffentlichten Version gelten. Die ursprüngliche Fassung des Exploits habe weder zusätzliche Zugangsdaten benötigt noch sei sie auf die Datei UsrClass.dat beschränkt gewesen.
Wörtlich schreibt Nightmare Eclipse in seinem Repository:
„Der ursprüngliche PoC erforderte keine zusätzlichen Benutzeranmeldedaten und war nicht auf den Hive „usrclass.dat“ beschränkt.“
Der öffentlich verfügbare PoC soll zwar die Existenz der Schwachstelle nachweisen, aber eine unmittelbare Massenverbreitung erschweren.
LegacyHive: Kleine Schwachstelle, große Wirkung
Der veröffentlichte Code ermöglicht mit der Einschränkung keine vollständige Systemübernahme per Mausklick. Dennoch sehen Sicherheitsforscher darin einen wertvollen Baustein für weitergehende Angriffe.
Der bekannte Sicherheitsforscher Will Dormann demonstrierte bereits kurz nach Veröffentlichung, dass sich durch die manipulierte Registry beispielsweise Dateizuordnungen verändern lassen. Statt einer harmlosen Textdatei könnte beim Öffnen eines .txt-Dokuments ebenso gut ein beliebiges anderes Programm gestartet werden. Clevere Angreifer dürften laut Dormann schnell Wege finden, ebenso weitreichendere Angriffsszenarien zu entwickeln.
Wie BleepingComputer berichtet, bestätigte Sicherheitsforscher Kevin Beaumont nach eigenen Tests, dass der LegacyHive-Exploit praktisch ausnutzbar ist. Der Sicherheitsforscher veröffentlichte zudem erste Erkennungsabfragen für Microsoft Defender for Endpoint, mit denen Unternehmen mögliche Ausnutzungsversuche identifizieren können.
Selbst wenn der aktuelle PoC also noch keine fertige Angriffsplattform darstellt, sehen Experten genügend Potenzial, damit erfahrene Angreifer daraus in kurzer Zeit leistungsfähigere Varianten entwickeln könnten.
LegacyHive: Ein Blick hinter den Exploit
Nach Analysen von ThreatLocker manipuliert der Exploit zunächst offline eine Registry-Hive eines zweiten Benutzerkontos. Anschließend sorgen symbolische Links innerhalb des Windows Object Managers dafür, dass der User Profile Service beim Laden des Benutzerprofils nicht mehr auf die erwartete Datei zugreift.
Der Ladevorgang wird unbemerkt auf die UsrClass.dat eines anderen Benutzers umgeleitet. Ein sogenannter Opportunistic Lock (Oplock) sorgt dabei für das notwendige Zeitfenster, um die Pfadauflösung während des Ladevorgangs umzuschalten. Am Ende bindet Windows die Registry-Hive des Zielkontos ein, obwohl der aufrufende Benutzer dafür keine Berechtigung besitzt.
Der Angriff kombiniert damit legitime Windows-Mechanismen.
Administratorrechte entstehen nicht automatisch
Der veröffentlichte Code verschafft zunächst allerdings lediglich Zugriff auf die Registry-Hive eines anderen Benutzers. Dieser Zugriff kann jedoch ausreichen, um beim nächsten Anmelden eines Administrators manipulierte Registry-Einträge automatisch ausführen zu lassen. Dadurch lässt sich die eigentliche Rechteausweitung vorbereiten. Sicherheitsforscher weisen deshalb darauf hin, dass der veröffentlichte Exploit eher als Baustein für weitergehende Angriffe zu verstehen ist als als fertiges Ein-Klick-Werkzeug.
Wie Matei Badanoiu von Pentest-Tools.com gegenüber The Register erklärt, ermöglicht LegacyHive zunächst eine lokale Rechteausweitung. Der Schritt zur vollständigen Systemübernahme erfordert jedoch weitere Angriffstechniken, etwa das Einrichten von Persistenzmechanismen oder der Zugriff auf zusätzliche Zugangsdaten.
Lokaler Zugriff bleibt Voraussetzung
Für Privatanwender gibt es zumindest eine Einschränkung, denn LegacyHive lässt sich nicht einfach über das Internet gegen beliebige Windows-PCs einsetzen. Ein Angreifer benötigt zunächst einen lokalen Zugang zum Zielsystem oder muss bereits einen anderen Weg gefunden haben, Schadcode auf dem Rechner auszuführen. Erst anschließend kommt die neue Rechteausweitungs-Lücke ins Spiel.
Deshalb sprechen Sicherheitsexperten von einer Local Privilege Escalation (LPE). Solche Schwachstellen bilden erst den zweiten Schritt eines Angriffs. Eine erste Sicherheitslücke ermöglicht den Einstieg. Eine LPE sorgt anschließend dafür, dass aus einem gewöhnlichen Benutzerkonto Administrator- oder sogar SYSTEM-Rechte werden.
Microsoft untersucht den Fall
Bisher existiert weder eine CVE-Kennung noch ein Sicherheitsupdate für die neue ProfSvc-Schwachstelle. Gegenüber BleepingComputer erklärte Microsoft, dass das Unternehmen die gemeldeten Informationen zu LegacyHive überprüfe und die Auswirkungen der möglichen Schwachstelle untersuche.
Gegenüber The Register bekräftigte Microsoft zugleich seine Unterstützung für das sogenannte Coordinated Vulnerability Disclosure (CVD). Das Verfahren sieht vor, Sicherheitslücken zunächst vertraulich an den Hersteller zu melden, damit ausreichend Zeit für Analyse und Entwicklung eines Sicherheitsupdates bleibt. An diesem Punkt gehen die Meinungen allerdings auseinander.
Nightmare Eclipse verschärft den Konflikt mit Microsoft
Bereits seit Frühjahr 2026 veröffentlicht Nightmare Eclipse beziehungsweise Chaotic Eclipse regelmäßig bisher unbekannte Windows-Schwachstellen. Damit ist LegacyHive nicht der erste Exploit des Sicherheitsforschers.
Zu den bekanntesten gehören unter anderem BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma, RoguePlanet und UnDefend. Mehrere dieser Lücken wurden später offiziell bestätigt und erhielten Sicherheitsupdates. Andere sollen nach Angaben verschiedener Sicherheitsunternehmen bereits kurz nach ihrer Veröffentlichung aktiv ausgenutzt worden sein.
Der Forscher begründet seine ungewöhnliche Veröffentlichungspolitik mit erheblichem Frust über Microsofts Umgang mit gemeldeten Sicherheitsproblemen. Er wirft dem Konzern unter anderem vor, Schwachstellen stillschweigend zu beheben, Forscher nicht ausreichend einzubinden und Sicherheitsmeldungen teilweise zu ignorieren.
Microsoft wiederum kritisierte in der Vergangenheit mehrfach die öffentliche Bekanntgabe ungepatchter Exploits und warnte davor, dass dadurch unnötige Risiken für Unternehmen und Privatanwender entstünden. Zeitweise stellte der Konzern sogar rechtliche Schritte gegen Personen in Aussicht, die durch solche Veröffentlichungen Kunden gefährden könnten.
Der Konflikt zwischen beiden Seiten hat sich damit zu einem öffentlichen Schlagabtausch entwickelt. Die Vorgehensweise von Nightmare Eclipse bleibt innerhalb der Sicherheitsbranche umstritten. Befürworter argumentieren, dass Hersteller ohne öffentlichen Druck manche Schwachstellen nur schleppend bearbeiten würden. Kritiker halten dagegen, dass ungepatchte Zero-Days letztlich vor allem Cyberkriminellen in die Hände spielen.
Warten auf den Patch ist keine Option
Auch wenn derzeit noch kein offizieller Patch existiert, raten Sicherheitsexperten Unternehmen bereits zu erhöhten Schutzmaßnahmen. Da der veröffentlichte Proof of Concept seine Spuren weitgehend wieder beseitigt, reicht eine nachträgliche Analyse kompromittierter Systeme nicht aus. Entscheidend ist, verdächtige Aktivitäten während der Ausführung frühzeitig zu erkennen.
ThreatLocker empfiehlt unter anderem, Zugriffe auf die Dateien ntuser.dat und UsrClass.dat genauer zu überwachen. Auffällig sind auch Prozesse, die Registry-Hives anderer Benutzer verändern, Dateien außerhalb der üblichen Profilverzeichnisse anlegen oder Registry-Hives ersetzen und anschließend wieder zurückschreiben.
Darüber hinaus können Windows-Ereignisse Hinweise auf einen möglichen Angriff liefern. Dazu gehören unter anderem ungewöhnliche Anmeldevorgänge mit expliziten Zugangsdaten, verdächtige Prozessstarts oder Änderungen an sicherheitsrelevanten Registry-Schlüsseln. Unternehmen, die bereits Microsoft Defender for Endpoint einsetzen, können zusätzlich auf die von Kevin Beaumont veröffentlichten Erkennungsregeln zurückgreifen.
Für Privatanwender ist die Lage etwas entspannter. Da LegacyHive zunächst lokalen Zugriff auf den Rechner voraussetzt, besteht kein unmittelbares Risiko allein durch den Besuch einer manipulierten Website. Dennoch ist es wichtig, Standardkonten statt Administratorkonten zu verwenden, unnötige lokale Benutzerkonten zu entfernen und verdächtige Programme gar nicht erst auszuführen.
