CVE-2024-21338: Nordkorea hebelt Windows-Schutz per Kernel aus

Die AppLocker-Zero-Day CVE-2024-21338 bildet den technischen Kern eines Angriffsmusters, das nordkoreanische Akteure mit gefälschten Jobangeboten verbinden: Wer bereits Administratorrechte auf einem Windows-System besitzt, kann über die Lücke auf Kernel-Ebene eskalieren und von dort aus Sicherheitssoftware aushebeln. Betroffen sind Unternehmen, die IT- und Entwicklerstellen besetzen – besonders Remote-Positionen – sowie Admins, die Endpunktschutz auf Windows betreiben. Einen CVSS-Score nennen die vorliegenden Quellen nicht, konkrete Zielorganisationen oder einen belegten Erfolg der Kampagne ebenfalls nicht.

CVE-2024-21338: Was die AppLocker-Lücke erlaubt

Bei CVE-2024-21338 handelt es sich um eine Zero-Day-Schwachstelle in AppLocker, dem Windows-Feature zur Anwendungssteuerung. Entdeckt wurde sie von Forschern des tschechischen Sicherheitsunternehmens Avast, Microsoft schloss sie im Februar 2024. Die Lücke erlaubt Angreifern, die bereits Administratorrechte haben, ihre Rechte bis auf Kernel-Ebene zu eskalieren – die höchste Zugriffsebene des Betriebssystems. Mit Kernel-Zugriff, so die Analyse, lassen sich Sicherheitssoftware stören, Infektionshinweise verbergen und Mitigationsmaßnahmen deaktivieren. Namentlich genannt werden Windows Defender, CrowdStrike Falcon und HitmanPro.

Ein Bericht zu dem Zero-Day ordnet die Aktivitäten der nordkoreanischen Gruppe Lazarus zu, die das Rootkit FudModule einsetzte und dessen Funktionalität verbesserte – unter anderem, um schwerer entdeckt zu werden. Avast bezeichnet FudModule als eines der komplexesten Werkzeuge im Arsenal von Lazarus. Bemerkenswert ist, was der Bericht nicht liefert: keine Namen betroffener Organisationen und keinen Nachweis, dass eine der Attacken erfolgreich war. Wer daraus eine akut laufende Kampagne ableitet, überinterpretiert die Datenlage.

Fingierte Jobangebote als Einfallstor

Der zweite belegte Baustein ist das Vorgehen über den Bewerbungsprozess. In der Kampagne „Contagious Interview" geben sich Akteure als Arbeitgeber aus – teils anonym, teils mit vagen Identitäten – und bringen Softwareentwickler im Rahmen eines fingierten Bewerbungsgesprächs dazu, Malware zu installieren. Die Ursprünge reichen bis Dezember 2022 zurück; die Zuordnung zu einem nordkoreanischen staatlich gesponserten Akteur erfolgt mit moderater Konfidenz (Tracking CL-STA-0240). Parallel beschreibt die Kampagne „Wagemole" Akteure, die eine unerlaubte Anstellung bei Organisationen in den USA und anderen Ländern suchen – mit Potenzial für finanziellen Gewinn und Spionage; diese Zuordnung erfolgt mit hoher Konfidenz (CL-STA-0241). Zum Arsenal gehören BeaverTail, eine JavaScript-basierte Malware, die sich in NPM-Paketen versteckt, sowie der Python-Backdoor InvisibleFerret – beide plattformübergreifend für Windows, Linux und macOS.

Microsofts Security-Team beobachtet seit 2024, dass nordkoreanische Remote-IT-Arbeiter KI einsetzen, um Ausweisdokumente zu fälschen, Fotos professioneller wirken zu lassen und ihre Stimme per Software zu verändern. Sie sitzen zumeist in Nordkorea, China und Russland und nutzen VPNs sowie Remote-Monitoring-and-Management-Tools. Microsoft trackt die Aktivität als Jasper Sleet (vormals Storm-0287), außerdem als Storm-1877 und Moonstone Sleet, und hat rund 3.000 bekannte Consumer-Accounts (Outlook, Hotmail) gesperrt, die von nordkoreanischen IT-Arbeitern angelegt wurden – nachzulesen im Lagebild zu den Remote-IT-Taktiken.

Wichtig für die Einordnung: Diese Microsoft-Trackings sind nicht deckungsgleich mit der Lazarus-Zuordnung rund um die Kernel-Lücke. Die Bezeichnungen gehören zu unterschiedlichen Analysen und sollten nicht zu einem einzigen Akteur verschmolzen werden.

Fake-Job und Kernel-Lücke: die Verkettung ist nicht belegt

Dass ein gefälschtes Jobangebot, eine Kernel-Lücke und das Abschalten von Sicherheitssoftware in dieser Reihenfolge eine einzige, zusammenhängende Kampagne bilden, ergibt sich aus den verfügbaren Quellen nicht. Die Verkettung entsteht erst aus der Zusammenschau zweier getrennter Stränge – der Job-Kampagnen einerseits und der 2024 gepatchten Kernel-Lücke andererseits.

Ebenso offen ist, welche Lücke der ursprüngliche Artikel konkret meint: Die belegte AppLocker-Schwachstelle datiert auf Februar 2024, während ein früherer Bericht von einer Treiberlücke spricht, die Microsoft zusammen mit über 400 weiteren Sicherheitslücken geschlossen habe. Eine CVE nennt der Ausgangsartikel nicht. Zwischen den belegten Volltextquellen (November 2023, Februar 2024, Juni 2025) und dem Oktober-Artikel klafft zudem eine zeitliche Lücke. Wer den Stoff als tagesaktuelle Bedrohung verkauft, überzeichnet die Faktenlage – als fundierte Beschreibung zweier dokumentierter Angriffsmuster ist er dagegen belastbar.

Was Admins erkennen und tun können

Microsoft empfiehlt strengere Vorab-Prüfung (Pre-Employment Vetting), das Blockieren nicht genehmigter IT-Management- und RMM-Tools, die Prüfung von Social-Media- und Profil-Accounts auf Einzigartigkeit, konsistente Lebensläufe und Videocalls zur Identitätsbestätigung. Ein technischer Workaround für die Kernel-Lücke ist in den Quellen nicht belegt – der wirksame Hebel bleibt das Patch-Management: Der Februar-2024-Patch für CVE-2024-21338 muss auf allen Windows-Systemen sitzen, auf denen AppLocker zum Einsatz kommt.

Daneben lohnt der Blick auf die Kernel-Ebene. Wenn Endpunktschutz still wird, ohne deinstalliert worden zu sein, oder Mitigation-Einstellungen verschwinden, ist das ein Warnsignal – genau darauf zielen Rootkits wie FudModule. Wie teuer ein erfolgreicher Einstieg wird, zeigt ein dokumentierter Fall: Ein Unternehmen wurde kompromittiert, nachdem es versehentlich einen nordkoreanischen Angreifer eingestellt hatte; die Folge waren Datenabfluss und eine Lösegeldforderung.

Fazit

Die Faktenlage trägt zwei Aussagen: Fingierte Bewerbungsgespräche sind ein etablierter Weg, Malware in Entwicklerumgebungen zu bringen, und CVE-2024-21338 erlaubt bei vorhandenen Admin-Rechten den Sprung auf Kernel-Ebene, von wo aus sich Schutzsoftware aushebeln lässt. Beides in einen einzigen Angriffsablauf zu pressen, decken die Quellen nicht. Für Admins heißt das: Patchen ist Pflicht, aber der eigentliche Angriffsvektor sitzt im Recruiting – Identitätsprüfung vor Vertragsunterschrift, restriktive Freigabe von RMM-Tools und ein waches Auge auf stumm gewordene Endpunktschutz-Agenten. Kein Nachweis existiert dafür, dass deutsche Organisationen betroffen sind.

Quellen