Badacze bezpieczeństwa odkryli niebezpieczny trend:
Atakujący nadużywają samego Microsoft Defender, aby uzyskać dostęp na poziomie SYSTEM i osłabić zabezpieczenia.
Wykorzystując publicznie dostępne exploity typu proof-of-concept (PoC), cyberprzestępcy zamieniają jedno z najbardziej zaufanych narzędzi bezpieczeństwa w broń do wykorzystania po przejęciu systemu.
Trzy exploity, o których musisz wiedzieć
Badacz znany jako Nightmare-Eclipse opublikował trzy exploity, które są obecnie aktywnie wykorzystywane:
🔹 BlueHammer
- Wykorzystuje CVE-2026-33825
- Wykorzystuje sytuację wyścigu (race condition) w procesie aktualizacji Defendera
- Daje dostęp na poziomie SYSTEM
- ✔️ Załatana przez Microsoft (kwiecień 2026)
🔹 RedSun
- Celuje w mechanizm klasyfikacji Defendera
- Działa nawet na w pełni zaktualizowanych systemach
- Używa prostych wyzwalaczy, takich jak ciągi testowe EICAR
- Daje dostęp na poziomie SYSTEM
🔹 UnDefend
- Używany po uzyskaniu dostępu SYSTEM
- Po cichu zakłóca aktualizacje Defendera
- Stopniowo obniża zdolność wykrywania
- Unika wywoływania alertów
Dlaczego to poważna sprawa
Te exploity nie tylko omijają Defendera…
👉 One nadużywają jego wewnętrznych procesów
Defender staje się częścią łańcucha ataku zamiast częścią obrony.
Jak atakujący z nich korzystają
Zaobserwowane ataki pokazują prosty, ale skuteczny schemat:
- Uzyskanie początkowego dostępu (często przez przejęte konta VPN)
- Przeprowadzenie podstawowego rozpoznania
- Uruchomienie exploitów PoC z katalogów użytkownika
- Podniesienie uprawnień do SYSTEM
- Po cichu wyłączenie lub osłabienie Defendera
Zaobserwowane techniki ukrywania się
Atakujący stosują taktyki generujące niewiele szumu:
- Przechowywanie ładunków w:
- folderze Pobrane (Downloads)
- folderze Obrazy (Pictures)
- Zmienianie nazw plików, aby uniknąć wykrycia
- Używanie legalnych nazw plików
👉 Efekt: niższy odsetek wykryć i cichsze ataki
Szerszy problem
Wszystkie trzy exploity wskazują na głębszy problem:
Nadmierne zaufanie do uprzywilejowanych procesów wewnątrz Defendera
Kluczowe słabości obejmują:
- sytuacje wyścigu (race conditions),
- brak walidacji ścieżek,
- niebezpieczną obsługę plików,
- zaufanie do procesów wewnętrznych.
Rzeczywiste ryzyko
Te exploity wymagają wstępnego dostępu — ale gdy atakujący już się dostaną do środka:
👉 Eskalacja uprawnień do SYSTEM staje się trywialna
Nawet średnio zaawansowani atakujący mogą:
- przejąć pełną kontrolę,
- wyłączyć zabezpieczenia,
- utrzymać trwały dostęp.
Jak chronić swoje środowisko
1. Instaluj poprawki natychmiast
Zainstaluj aktualizacje z kwietnia 2026, aby ograniczyć ryzyko związane z BlueHammer
2. Sprawdź wersję Defendera
Upewnij się, że używasz:
- platformy Antimalware w wersji v4.18.26050.3011 lub nowszej
⚠️ Nie ufaj samym pulpitom — można nimi manipulować
3. Wymuszaj MFA wszędzie
Szczególnie w:
- VPN
- systemach zdalnego dostępu
👉 Większość ataków zaczęła się bez MFA
4. Ogranicz ścieżki uruchamiania
Blokuj uruchamianie z:
- folderu Pobrane (Downloads)
- folderu Obrazy (Pictures)
- folderów tymczasowych (Temp)
5. Dodaj niezależne warstwy bezpieczeństwa
Używaj narzędzi, które:
- nie dzielą granic zaufania z Defenderem,
- zapewniają zewnętrzną weryfikację.
Na koniec
Ta kampania dowodzi kluczowej zmiany we współczesnych cyberzagrożeniach:
Atakujący nie tylko łamią zabezpieczenia, ale zwracają je przeciwko Tobie!
