BlueHammer Ransomware: Defender-Zero-Day CVE-2026-33825 aktiv ausgenutzt

BlueHammer Ransomware ist da: Kriminelle nutzen die Windows-Defender-Lücke CVE-2026-33825 inzwischen aktiv für Erpressungsangriffe. Die US-Cyberbehörde CISA hat die Schwachstelle in ihren Katalog bekannter, ausgenutzter Lücken aufgenommen. Wer Windows 10 oder 11 betreibt, sollte den Patch sofort einspielen.

BlueHammer Ransomware: Was die Defender-Lücke so gefährlich macht

CVE-2026-33825, intern „BlueHammer” genannt, ist eine lokale Rechteausweitung. Der Fehler steckt in der Aufräum-Engine von Microsoft Defender und beruht auf einer sogenannten TOCTOU-Race-Condition (Time-of-check to time-of-use). Vereinfacht gesagt prüft Defender eine Datei zu einem Zeitpunkt, verarbeitet sie aber später – und genau dieses Zeitfenster nutzen Angreifer aus.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Das Ergebnis ist heikel: Ein Nutzer ohne besondere Rechte erlangt SYSTEM-Rechte, also die höchste Stufe unter Windows. Betroffen sind laut den Forschern auch vollständig gepatchte Windows-10- und Windows-11-Systeme. Weil Defender auf praktisch jedem modernen Windows läuft und mit hohen Rechten arbeitet, ist die Angriffsfläche riesig.

Von der Offenlegung zum Ransomware-Angriff

Microsoft legte die Lücke am 2. April 2026 offen und lieferte am 14. April 2026 einen Patch. BlueHammer gehört zu mehreren Exploits, die ein verärgerter Sicherheitsforscher unter den Namen „Chaotic Eclipse” und „Nightmare Eclipse” veröffentlichte – teils, bevor Microsoft reagieren konnte.

Inzwischen ist die Lücke Teil echter Ransomware-Kampagnen. Analysten von Huntress dokumentierten einen Einbruch, bei dem die Angreifer über ein kompromittiertes FortiGate-SSL-VPN einstiegen. Danach kombinierten sie BlueHammer mit dem Defender-Bypass-Tool „UnDefend” und dem Go-basierten Tunnel-Werkzeug „BeigeBurrow”. So verschafften sie sich SYSTEM-Rechte, schwächten den Virenschutz, griffen Zugangsdaten ab und bereiteten die Verschlüsselung vor – alles ausgehend von einem einzigen infizierten Rechner.

So schützen Sie sich vor BlueHammer Ransomware

Die wichtigste Maßnahme ist der Microsoft-Patch vom April. Prüfen Sie, ob Ihre Systeme wirklich aktuell sind, denn viele Rechner hängen bei Updates hinterher. Ergänzend helfen ein paar Grundregeln:

• VPN-Zugänge absichern und Multi-Faktor-Authentifizierung erzwingen, denn der Einstieg lief hier über ein VPN.
• Verdächtige Manipulationen an Defender überwachen, etwa das Abschalten von Schutzfunktionen.
• Offline-Backups vorhalten, damit eine Verschlüsselung nicht das Aus bedeutet.

Gerade der letzte Punkt entscheidet im Ernstfall über den Schaden. Wer wichtige Daten regelmäßig verschlüsselt und getrennt vom Netzwerk sichert, nimmt Erpressern das Druckmittel. Konkrete Hardware-Tipps dazu finden Sie in meinem Ratgeber zu verschlüsselten USB-Sticks und externen SSDs.

BlueHammer reiht sich in eine dichte Folge kritischer Microsoft-Lücken ein. Erst kürzlich stopfte der Hersteller am Patch Tuesday im Juli 570 Schwachstellen, darunter mehrere Zero-Days. Die Botschaft bleibt gleich: zeitnah patchen und Angriffswege konsequent schließen.

Fazit

BlueHammer Ransomware zeigt, wie schnell aus einer bekannten Lücke ein aktiver Angriffsweg wird. Der Patch existiert seit April – jetzt kommt es darauf an, ihn auch überall auszurollen. Handeln Sie zügig, dann bleibt Ihr Netzwerk außen vor.

Quellen

• BleepingComputer: CISA – Windows BlueHammer flaw now exploited by ransomware gangs
• SecurityWeek: BlueHammer Vulnerability Exploited in Ransomware Attacks
• Picus Security: BlueHammer & RedSun – CVE-2026-33825 erklärt
• CISA: Known Exploited Vulnerabilities Catalog