CVE-2025-29824: Windows CLFS Zero-Day von Ransomware ausgenutzt

CVE-2025-29824 ist eine Use-after-free-Schwachstelle im Windows Common Log File System (CLFS)-Treiber, die von mehreren Ransomware-Gruppen aktiv als Schritt zur Rechteausweitung bei Angriffen auf US-Organisationen ausgenutzt wird. CVSS 7,8 HOCH. Gepatcht am Patch-Dienstag im April 2025.

Was ist CVE-2025-29824?

Das Windows Common Log File System (CLFS) ist eine Protokollierungsinfrastruktur im Kernelmodus, die von Windows und Anwendungen für die Transaktionsprotokollierung verwendet wird. CVE-2025-29824 ist eine Use-after-Free-Schwachstelle im CLFS-Treiber (clfs.sys), die es einem lokalen Angreifer ermöglicht, Berechtigungen auf SYSTEM zu erhöhen.

Dies ist die sechste offene CLFS-Schwachstelle seit 2022 – ein Muster, das darauf hindeutet, dass Ransomware-Gruppen spezielle Windows-Kernel-Exploit-Teams unterhalten, die speziell auf diesen Treiber abzielen. Die CLFS-Angriffsoberfläche ist produktiv, da es sich um einen komplexen Treiber mit umfangreicher Funktionalität handelt, die auch Benutzern mit geringen Berechtigungen zugänglich ist.

Das CLFS-Ausnutzungsmuster in Ransomware

Ransomware-Betreiber haben mithilfe von CLFS-Schwachstellen eine äußerst effektive Angriffskette verfeinert:

1. Erster Zugriff: Nutzen Sie Schwachstellen im Internet oder Phishing, um zunächst Fuß zu fassen
2. Eingeschränkte Berechtigungen: Der Erstzugriff erfolgt normalerweise mit Benutzer- oder Dienstkontoberechtigungen
3. CLFS LPE: Verwenden Sie CVE-2025-29824 (oder frühere CLFS CVEs), um an SYSTEM zu eskalieren
4. Verteidigungsumgehung: Mit SYSTEM-Berechtigungen AV/EDR deaktivieren, Ereignisprotokolle löschen
5. Anmeldedatendiebstahl: LSASS-Dump, DCSync oder Pass-the-Hash mit SYSTEM
6. Ransomware-Bereitstellung: Domainweit über GPO oder PsExec mit gestohlenen Anmeldeinformationen verschlüsseln

Technische Details

Die Sicherheitslücke betrifft eine Use-After-Free-Bedingung bei der Verarbeitung von BLF-Strukturen (Base Log File) durch den CLFS-Treiber. Wenn bestimmte Protokolldateivorgänge mit einer manipulierten Sequenz ausgeführt werden, kann der Treiber veranlasst werden, auf den Speicher zuzugreifen, nachdem dieser freigegeben wurde, sodass ein Angreifer beliebige Schreibprimitive im Kernelspeicher erreichen kann.

# The exploitation process (simplified):
1. Create a CLFS log file as unprivileged user
2. Trigger the use-after-free via crafted IOCTL sequence
3. Reclaim the freed memory with attacker-controlled data
4. Corrupt EPROCESS token to gain SYSTEM privileges
5. Spawn elevated shell or inject into SYSTEM process

Warum CLFS ein Wiederholungsziel ist

CLFS wird wiederholt ins Visier genommen, weil:

• Komplexer Treibercode mit vielen Zustandsübergängen (hohe Schwachstellendichte)
• Zugriff für unprivilegierte Benutzer – für die Interaktion mit CLFS sind keine besonderen Berechtigungen erforderlich
• Stabile Ausnutzung – Kernel-Adresslayouts in CLFS-Strukturen sind vorhersehbar
• Funktioniert in allen modernen Windows-Versionen mit minimalen Änderungen

Betroffene Systeme

Alle Windows-Systeme, auf denen ungepatchte Versionen vor dem Patch-Dienstag vom April 2025 ausgeführt werden:

• Windows 10 (alle unterstützten Versionen)
• Windows 11 (alle unterstützten Versionen)
• Windows Server 2012 R2 bis 2025

Erkennung

Verhaltensindikatoren

# Detect unusual CLFS operations from user-mode processes
# Using Sysmon Event ID 11 (File Create) for .blf files
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=11} |
  Where-Object {$_.Message -like '*.blf*'} |
  Where-Object {$_.Message -notlike '*\System32\*'} |
  Select TimeCreated, Message

# Look for process token privilege elevation
# Sysmon Event 10 (ProcessAccess) targeting lsass from non-system processes
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=10} |
  Where-Object {$_.Message -like '*lsass*'}

PipeMagic Backdoor IOCs

• DLL-Dateien, die von dllhost.exe aus temporären Verzeichnissen geladen werden
• Ausgehende HTTPS-Verbindungen zur CDN-basierten C2-Infrastruktur
• Benannte Pipe-Erstellung mit zufälligen Namen
• Nur-Speicher-Payloads – keine Dateiartefakte nach der Ausführung

Abhilfe

1. Patchdienstag-Updates vom April 2025 anwenden: KB5055523 (Windows 10/11) behebt CVE-2025-29824
2. Bereitstellen von EDR mit Verhaltenserkennung: Signaturbasiertes AV erkennt kein Zero-Day-LPE; Verhaltens-EDR ist erforderlich
3. Windows Defender Credential Guard aktivieren: Verhindert LSASS-Dumps nach einer Rechteausweitung
4. Anwendungskontrolle implementieren: Ausführung nicht autorisierter Binärdateien einschränken, die den Exploit auslösen könnten
5. Sichern und Testwiederherstellungen: Gehen Sie davon aus, dass eine Ransomware-Bereitstellung möglich ist; Offline-Backups sind nicht verhandelbar
6. Überwachen Sie die Erstellung von CLFS-Dateien: Markieren Sie die Erstellung von .blf-Dateien aus ungewöhnlichen Speicherorten oder Prozessen

KENSAI-Erkennungsfähigkeit

• Patch-Inventar-Scanning: KENSAI identifiziert alle Windows-Systeme, auf denen das kumulative Update vom April 2025 fehlt
• Ransomware-Angriffsflächenbewertung: Bildet die gesamte Angriffskette ab – von den ersten Zugriffsvektoren bis zu LPE-Möglichkeiten
• Priorisierung der Gefährdung: Ordnet ungepatchte Systeme nach Netzwerkgefährdung und Datensensibilität.
• Historische CLFS-CVE-Abdeckung: KENSAI verfolgt alle sechs ausgenutzten CLFS-CVEs und gewährleistet so eine umfassende Abdeckung