Defender XDR: Kritische Lücke lässt Angreifer unerkannt passieren

Sicherheitsforscher entdecken Lücke in Microsoft Defender XDR. IPv4-zu-IPv6-Umsetzungen tarnen Angreifer-Verbindungen und umgehen KQL-Abfragen.

Eine Schwachstelle in Microsofts Sicherheitsplattform erlaubt Angreifern, unerkannt zu bleiben.

Cybersecurity-Forscher haben einen gefährlichen blinden Fleck in Microsoft Defender XDR aufgespürt. Das Problem: Bestimmte Netzwerkverbindungen, die über eine spezielle IPv4-zu-IPv6-Umsetzung laufen, werden von der Plattform falsch kategorisiert. Dadurch können Angreifer öffentliche Verbindungen tarnen – und klassische Sicherheitsabfragen ins Leere laufen lassen. Die Lücke wurde im Rahmen einer sogenannten Purple-Team-Übung am 20. und 21. Juli 2026 entdeckt.

Das Problem mit der IP-Kennzeichnung

Im Kern geht es um das Feld RemoteIPType in den Protokollen von Defender XDR. Normalerweise wird externer Datenverkehr als „Public" gekennzeichnet. Doch bei Verbindungen, die eine IPv4-Adresse im IPv6-Format darstellen – erkennbar am Präfix ::ffff: –, vergibt das System die Bezeichnung „FourToSixMapping".

Das hat fatale Folgen: Wer in der Abfragesprache KQL (Kusto Query Language) gezielt nach „Public"-Verbindungen in der Tabelle DeviceNetworkEvents sucht, übersieht sämtlichen Traffic mit dem Label „FourToSixMapping". Noch gravierender: Die KQL-Funktion ipv4_is_private() liefert bei diesen Adressen einen Nullwert zurück. Das bedeutet: Selbst ausgeklügelte Filter erkennen öffentliche Command-and-Control-Verbindungen (C2) nicht – sie verschwinden im Nichts.

So schließen Unternehmen die Lücke

Sicherheitsexperten empfehlen, die Erkennungslogik umzustellen. Konkret sollen Admins das ::ffff:-Präfix aus den IP-Adressen entfernen oder die Abfragen so anpassen, dass sie sowohl „Public" als auch „FourToSixMapping" berücksichtigen. Nur so lässt sich sicherstellen, dass kein schädlicher Datenverkehr durchs Raster fällt.

Anzeige

Angesichts immer komplexerer Bedrohungen wie manipulierter Netzwerkprotokolle benötigen Unternehmen heute eine proaktive Sicherheitsstrategie. Erfahren Sie in diesem kostenlosen E-Book, wie Sie aktuelle Bedrohungen abwenden und neue gesetzliche Anforderungen an Ihre IT-Infrastruktur rechtssicher umsetzen. IT-Sicherheit stärken und Unternehmen langfristig schützen

Weitere Angriffsmethoden auf dem Vormarsch

Die Entdeckung kommt nicht von ungefähr. Am selben Tag veröffentlichte der Sicherheitsanbieter Bitdefender Details zu einer weiteren raffinierten Methode: dem Missbrauch von Windows-Bind-Links. Dabei handelt es sich um speicherbasierte Verknüpfungen, die Dateipfade umleiten. Das macht Endpoint-Detection-Systeme (EDR) blind – und umgeht Sicherheitsfunktionen wie Sysmon, AppLocker und die Antimalware-Scan-Schnittstelle (AMSI). Voraussetzung: Die Angreifer benötigen Administratorrechte.

Parallel dazu haben Forscher ein neues Schadsoftware-Framework namens HOLLOWGRAPH (auch als Project CAV3RN bekannt) identifiziert. Seit dem 3. Juni 2026 ist es aktiv und richtet sich gegen israelische Unternehmen. Die Besonderheit: Die Malware nutzt Microsoft-365-Kalendereinträge als verdeckten Kommunikationskanal. Die Angreifer verstecken ihre Befehle in Terminen, die auf den 13. Mai 2050 datiert sind, und kommunizieren über die Microsoft Graph API. Herkömmliche netzwerkbasierte Erkennung? Fehlanzeige.

Anzeige

Immer häufiger nutzen Hacker wie im Fall von HOLLOWGRAPH psychologische und technische Grauzonen aus, um in Netzwerke einzudringen. Der kostenlose Anti-Phishing-Leitfaden zeigt Ihnen in 4 Schritten, wie Sie Ihr Unternehmen gegen moderne Angriffsmethoden und Manipulationstaktiken absichern. Anti-Phishing-Paket zur Hacker-Abwehr jetzt kostenlos sichern

Microsoft rüstet auf

Parallel zu diesen Bedrohungen rollt Microsoft neue Sicherheitsfunktionen aus. Seit dem 20. Juli 2026 ist der Microsoft Purview Insider Risk Management Triage Agent allgemein verfügbar. Das Tool erstellt Zusammenfassungen von Risikomustern für Benutzer und Aktivitäten und kann bis zu 30.000 Ereignisse pro Alarm analysieren. Ziel: interne Bedrohungen frühzeitig erkennen.

Doch die Herausforderungen wachsen. Aktuelle Daten zeigen: 91 Prozent der Organisationen setzen bereits KI-Agenten ein. Maschinen-Identitäten übersteigen menschliche Identitäten im Verhältnis 80 zu 1. Und 53 Prozent der Unternehmen berichten, dass KI-Agenten ihre zugewiesenen Berechtigungen überschritten haben. Die Botschaft ist klar: Wer automatisierte Systeme in seinen Netzwerken zulässt, braucht eine deutlich reifere Governance – sonst wird aus dem Helfer schnell ein Sicherheitsrisiko.