Mobile-Menu

Update: Schwachstelle für Malware-Verteilung genutzt Notfall-Update für kritische RCE-Sicherheitslücke in WSUS

Aktualisiert am 02.12.2025 Von Melanie Staudacher 3 min Lesedauer

Microsoft veröffentlichte einen außerplanmäßigen Notfall-Patch für eine kritische Sicherheitslücke in WSUS. Nachdem zuerst ein Proof of Concept für ihre Ausnutzung kursierte, wird sie nun für die Verteilung der „ShadowPad“-Malware genutzt.

Anstelle bis zum nächsten Patchday zu warten, veröffentlichte Microsoft nun außerplanmäßig einen Nofall-Patch für eine WSUS-Sicherheitslücke, der Ausnutzung wahrscheinlich sei.(Bild: Kiattisak - stock.adobe.com)
Anstelle bis zum nächsten Patchday zu warten, veröffentlichte Microsoft nun außerplanmäßig einen Nofall-Patch für eine WSUS-Sicherheitslücke, der Ausnutzung wahrscheinlich sei.
(Bild: Kiattisak - stock.adobe.com)

Nachdem Microsoft am Patch Tuesday die letzten Sicherheitsupdates für Windows 10 ver­öffent­lichte, folgte neun Tage später ein Notfall-Update. Dieses betrifft die kritische Sicher­heits­lücke CVE-2025-59287 (CVSS-Score 9.8), die Remote-Code-Ausführung in WSUS ermöglicht. Diese Schwachstelle wurde bereits beim Patchday im Oktober erstmals geschlossen, doch dadurch konnte die An­fälligkeit nicht vollständig behoben werden. Wie das Forschungsteam von Asec nun berichtet, wird die Schwachstelle von Angreifern aktiv ausgenutzt, um die Malware „ShadowPad“ zu verbreiten, mit dem Ziel, die volle Kontrolle über betroffene Systeme zu er­langen.

Nach einem PoC folgte die Ausnutzung

Sowohl das BSI wie auch die CISA warnten schon vor Cyberangriffen mithilfe von CVE­2025-59287. Als Microsoft seinen Sicherheitshinweis zuletzt am 24. Oktober 2025 aktuali­sierte, habe es noch keine aktive Ausnutzung der Schwachstelle gegeben. Der Hersteller stufte sie allerdings schon zu diesem Zeitpunkt als wahrscheinlich ein.

Kurz zuvor, am 22. Oktober, hatte der Hersteller Hawktrace einen detaillierten Blogbeitrag zur WSUS-Schwachstelle veröffentlicht, der auch einen Proof of Concept (PoC) enthält. Für einen erfolgreichen Angriff reicht es aus, wenn ein entfernter, nicht authen­ti­fi­zier­ter Angreifer ein manipuliertes Ereignis an den WSUS-Server sendet, welcher aufgrund eines Programmier­fehlers auch nicht vertrauenswürdige Daten deserialisiert. Die Folge ist eine mögliche Remote Code Execution (RCE) mit SYSTEM-Privilegien.

Am 19. November veröffentlichte Asec einen Bericht über einen beobachteten Angriff, bei dem Cyberkriminelle CVE-2025-59287 für den Einstieg ausnutzten, um Remote-Code auszuführen. Dafür hätten sie die Backdoor-Malware ShadowPad genutzt, die bereits von zahlreichen chine­sischen APT-Gruppen eingesetzt wird. Erstmals entdeckt wurde ShadowPad 2017, seitdem wird die Malware kontinuierlich aktualisiert. Die Angreifer hätten den öffentlichen PoC für ihre Attacke genutzt.

Patch, Workaround und IoC

Betroffen von CVE-2025-59287 sind folgende Windows-Server-Versionen und Server-Core-Installationen:

  • Windows Server 2012
  • Windows Server 2012 R2
  • Windows Server 2016
  • Windows Server 2019
  • Windows Server 2022
  • Windows Server 23H2 Edition
  • Windows Server 2025

Microsoft betont, dass nur Windows-Server mit aktiver WSUS-Server-Rolle anfällig für diese Schwachstelle sind. Standardmäßig ist die WSUS-Server-Rolle deaktiviert. Deshalb sollten Windows-User zum einen ihre Einstellungen prüfen und zum anderen das Update vom 23. Oktober 2025 installieren, um CVE-2025-59287 zu schließen. Folgende Hinweise gibt der Hersteller außerdem:

  • Falls die WSUS-Server-Rolle auf Ihrem Server aktiviert ist, deaktivieren Sie sie. Beachten Sie, dass Clients keine Updates mehr vom Server erhalten, wenn WSUS deaktiviert ist.
  • Blockieren Sie eingehenden Datenverkehr an den Ports 8530 und 8531 auf der Host-Firewall, anstatt ihn nur an der Netzwerk- beziehungsweisePerimeter-Firewall zu blockieren, um WSUS funktionsunfähig zu machen.
  • Machen Sie keine dieser Problemumgehungen rückgängig, bis Sie das Update installiert haben.
  • Nach der Installation des Updates müssen Sie Ihr System neu starten.

Den Untersuchungen von Asec zufolge, fungiere die schädliche Dynamic Link Library (DLL) „ETDApix.dll“ als ShadowPad-Loader, nachdem die legitime Datei „ETDCtrlHelper.exe“ aus­ge­führt wurde. Dann laufe die DLL vollständig im Arbeitsspeicher. Im selben Verzeichnis befinde sich die „.tmp“-Datei, die die Kernfunktionalität der Malware enthalte, einschließlich der Kon­fi­gurationsdaten für die Backdoor.

Folgende Konfigurationsdetails habe Asec bei dem beobachteten Angriff identifizieren können, die Unternehmen als Indicator of Compromise (IoC) dienen können, darunter:

Konfigurationselement Wert
MutexQ-X64
DienstnameQ-X64
Anzeigename des DienstesQ-X64 Service
DienstbeschreibungQ-X64 Service for windows
Persistenz-RegistrierungsschlüsselSOFTWARE\Microsoft\Windows\CurrentVersion\Run
Persistenz-RegistrierungswertQ-X64
PersistenznameQ-X64
Aufgabenplaner-PfadMicrosoft\Windows\UPnP
Aufgabenplaner-NameMicrosoft Corporation
Aufgabenplaner-BeschreibungQ-X64 Service for windows
Startprozess-Pfad #1%ProgramFiles%\Q-X64\Q-X64.exe
Startprozess-Pfad #1%APPDATA%\Q-X64\Q-X64.exe
Startprozess-Pfad #3%LOCALAPPDATA%\Q-X64\Q-X64.exe
Startprozess-Pfad #4%TEMP%\Q-X64\Q-X64.exe
Sideloading-DLL-NameETDApix.dll
Zielprozesspfad für Injection #1“%PROGRAMFILES%\Windows Mail\WinMail.exe” Q-X64
Zielprozesspfad für Injection #2“%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe” Q-X64
Zielprozesspfad für Injection #3“%ProgramFiles%\Windows Media Player\wmplayer.exe” Q-X64
Zielprozesspfad für Injection #4“%SystemRoot%\system32\svchost.exe” Q-X64
C&C #1HTTP://163.61.102[.]245:443
C&C #2HTTPS://163.61.102[.]245:443
C&C-Header #1POST
C&C-Header #265536
C&C-Header #3User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:87.0) Gecko/20100101 Firefox/87.0
C&C-Header #4Accept-Language: en-ca,en;q=0.8,en-us;q=0.6,de-de;q=0.4,de;q=0.2
C&C-Header #5Accept-Encoding: gzip, deflate
C&C-Header #6Accept: text/html, application/xhtml+xml, image/jxr, */*
Weiterleitungs-IP TCPRegistry Required
Weiterleitungs-IP UDPRegistry Required

(ID:50604124)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte