Hacker nutzen Nightmare-Eclipse-Tools nach Kompromittierung des FortiGate SSL VPN Zugangs

Eine reale Einbruchskampagne, die öffentlich zugängliche Nightmare-Eclipse-Privilegiesteigerungs-Tools nutzt, BlueHammer, RedSun und UnDefend, nach einem scheinbar unbefugten Zugriff über ein kompromittiertes FortiGate S Eine reale Einbruchskampagne, die öffentlich zugängliche Nightmare-Eclipse-Privilegiesteigerungs-Tools nutzt, BlueHammer, RedSun und UnDefend, nach einem scheinbar unbefugten Zugriff über ein kompromittiertes FortiGate SSL VPN.

Der Vorfall markiert den ersten bestätigten Einsatz dieser Tools in der Wildnis gegen eine Live-Unternehmensumgebung und löst dringende Alarmglocken bei Sicherheitsteams weltweit aus.

Die Tools im Zentrum dieses Vorfalls wurden von einem Sicherheitsforscher namens Chaotic Eclipse entwickelt, der auch als Nightmare-Eclipse bekannt ist, eine Pseudonymitätsperson, die frustriert über den Schwachstellen-Offenlegungs-Prozess von Microsoft wurde und als Vergeltung eine Reihe von lokalen Privilegiesteigerungs-Exploits veröffentlichte.

Das Dreierpaket an Tools BlueHammer, RedSun

Das Dreierpaket an Tools BlueHammer, RedSun und UnDefend nutzt Logikfehler in den privilegierten Operationen von Windows Defender aus, um einen Angreifer von einem nicht privilegierten Benutzerkonto auf SYSTEM-Level-Zugriff zu eskalieren oder die Sicherheitsfunktionen von Defender vollständig zu stören, ohne dass administrative Rechte erforderlich sind.

Microsoft behob BlueHammer in seinem Patch Tuesday Update vom April 2026 und verfolgte es als CVE-2026-33825. Stand der Veröffentlichung sind RedSun und UnDefend jedoch ungepatchte Zero-Days, die aktiv gegen vollständig aktualisierte Windows-Systeme nutzbar sind.

Nightmare-Eclipse Tools Nutzung des FortiGate SSL VPN Zugriffs Huntress entdeckte erstmals am 10.

April 2026 den vermuteten Einsatz von BlueHammer in der Wildnis, als ein Binärfile namens FunnyApp.exe – ein Build, der direkt aus dem öffentlichen BlueHammer GitHub Repository gezogen wurde – aus dem Bilderordner eines Benutzeropfers ausgeführt und anschließend von Defender als Exploit:Win32/DfndrPEBluHmr.BZ in Quarantäne gestellt wurde.