Windows 11: Forscher zeigen SYSTEM-Übernahme via USB-Treiber
Veröffentlicht am: 11.08.2026 um 16:13 Uhr | Redaktion boerse-global.de
Im Rahmen der Sicherheitskonferenz DEF CON 34 haben die Forscher Alejandro Hernando und Borja Martinez eine kritische Schwachstelle in der Plug-and-Play-Architektur von Windows 11 aufgezeigt. Die Experten demonstrierten, wie die automatische Installationsroutine für Hardware-Komponenten missbraucht werden kann, um eine vollständige SYSTEM-Übernahme zu erreichen. Besonders relevant für die IT-Sicherheit ist die Erkenntnis, dass dieser Angriffsvektor auch auf vollständig aktualisierten Systemen erfolgreich bleibt.
Physische Angriffskette über Treiber-Installation
Die von den Forschern präsentierte Methode nutzt das automatisierte Vertrauensmodell aus, das Windows beim Anschluss neuer Hardware anwendet. In einer physischen Angriffsszenario verwendeten Hernando und Martinez ein emuliertes Sierra-Wireless-Gerät. Sobald das Betriebssystem dieses Gerät erkennt, initiiert es die Installation der Datei SwiService.exe. Diese Komponente verfügt laut den Untersuchungen über eine sogenannte SetDNS-Primitive, die als Ausgangspunkt für die weitere Eskalation dient.
Angesichts solch kritischer Sicherheitslücken in Systemprozessen ist es für Nutzer umso wichtiger, die Kontrolle über ihr Betriebssystem zu behalten und typische Fehlerquellen selbst identifizieren zu können. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Windows-11-Probleme ohne teure Techniker eigenständig lösen. 5 häufige Windows-11-Fehler sofort selbst beheben
Für den entscheidenden Zugriff auf geschützte Systemressourcen kombinierten die Sicherheitsforscher diesen Prozess mit einem Fehler in einem weiteren Treiber-Element. Sie identifizierten eine Path-Traversal-Schwachstelle im Co-Installer eines Sony-FeliCa-Lesers. Durch die geschickte Verknüpfung dieser Schwachstellen gelang es den Experten, eine manipulierte Dynamic Link Library (DLL) direkt in das geschützte Verzeichnis System32 einzuschleusen. Da dieser Vorgang im Kontext der privilegierten Hardware-Installation stattfindet, erhält der Angreifer die volle Kontrolle über das Betriebssystem mit den höchstmöglichen Rechten.
Remote-Variante mittels RDP-Umleitung
Neben dem Szenario mit physischem Zugriff stellten Hernando und Martinez eine Variante vor, die aus der Ferne über das Remote Desktop Protocol (RDP) durchgeführt werden kann. Diese Methode setzt voraus, dass die RDP-Umleitung aktiviert ist, was in der Standardkonfiguration von Windows 11 nicht der Fall ist.
Bei diesem Angriffstyp kommt ein virtuelles Phantom-Gerät zum Einsatz, das sich gegenüber dem System als Intel RealSense-Komponente ausgibt. Durch diesen Mechanismus provozierten die Forscher ein sogenanntes Hijacking der CRYPTBASE.dll. Auch in diesem Fall ermöglichte die fehlerhafte Verarbeitung der Geräte-Identifikation und der damit verbundenen automatischen Installationsprozesse die Eskalation der Privilegien bis zur vollständigen Systemkontrolle.
Wer sich mit der Absicherung seines Systems befasst, sollte auch für den Ernstfall eines kompromittierten oder streikenden Rechners vorsorgen. Erfahren Sie in dieser Gratis-Anleitung, wie Sie einen universellen Rettungs-Stick erstellen, um Windows 11 jederzeit sicher neu zu installieren. Windows 11 Boot-Stick gratis erstellen
Die Demonstration auf der DEF CON unterstreicht die anhaltenden Risiken innerhalb der Plug-and-Play-Funktionalität, die darauf ausgelegt ist, die Benutzerfreundlichkeit durch automatische Treiber-Konfigurationen zu erhöhen. Da die gezeigten Angriffe auf legitimen Systemprozessen und signierten Treibern basieren, stellt die Absicherung dieser Schnittstellen eine komplexe Herausforderung für die Sicherheitsarchitektur dar. Die Forscher verdeutlichten, dass die bloße Installation aktueller Sicherheitsupdates zum Zeitpunkt der Demonstration nicht ausreichte, um die missbräuchliche Nutzung der Auto-Install-Funktion zu verhindern.
