Эксплойт BlueHammer повышает привилегии через Windows Defender

BlueHammer, отслеживаемый как CVE-2026-33825, представляет собой восьмиэтапную цепочку локального повышения привилегий, затрагивающую версии Windows Defender Antimalware Platform ниже 4.18.26030.3011. Для эксплуатации злоумышленнику нужен доступ к выполнению кода от имени стандартного пользователя, поэтому цепочка не обеспечивает первоначальный доступ. Она использует доверенные механизмы Windows и функции Defender, а не повреждение памяти, чтобы получить права NT AUTHORITY\SYSTEM.

Как работает цепочка эксплуатации BlueHammer

Сначала эксплойт через COM-интерфейс Windows Update проверяет, ожидает ли установки обновление определений Defender. Затем он загружает подписанный пакет обновления и извлекает содержимое CAB в оперативную память. Файл mpasbase.vdm заменяется, остальные подписанные файлы остаются без изменений.

Блокировка oplock на файле RstrtMgr.dll и запуск сканирования с помощью триггера EICAR помогают определить, когда Defender начинает обработку файлов. Эксплойт также отслеживает снимки тома, которые создаются во время сканирования. Затем атакующий регистрируется как провайдер CloudFilter и помещает исполняемый файл-приманку в контролируемый каталог синхронизации, или sync-root.

Когда Defender сканирует приманку, обратный вызов CloudFilter в MsMpEng.exe может приостановить поток сканирования на уровне ядра. Это создаёт временное окно для оставшихся этапов. Эксплойт вызывает локальную конечную точку RPC Defender MpAmDefinitionUpdateAPI, чтобы служба создала копии подготовленных файлов обновления от имени учётной записи SYSTEM.

При последующем повторном открытии файла mpasbase.vdm гонка символьных ссылок в диспетчере объектов, связанная с таймаутом oplock, перенаправляет обращение к кусту SAM в снимке VSS. Эксплойт обрабатывает утёкший дескриптор с помощью API офлайн-реестра, восстанавливает ключ загрузки LSA, расшифровывает материалы шифрования SAM и извлекает NT-хэши локальных учётных записей.

Затем эксплойт может сбросить пароль учётной записи, имперсонировать повышенный токен и создать временную службу от имени LocalSystem. Во время тестирования доступ с правами SYSTEM позволил извлечь учётные данные домена, уже находившиеся в LSASS, и аутентифицироваться на контроллере домена методом «Передача хеша» (Pass the Hash). Это продемонстрировало возможность перейти от точки опоры на рабочей станции к компрометации домена.

Условия эксплуатации и обнаружение

Возможность эксплуатации зависит от условий выполнения, в том числе от версии и состояния Defender, наличия драйвера-фильтра, доступности CloudFilter, поведения VSS и наличия ожидающего обновления сигнатур. Обнаружение атаки должно основываться на корреляции следующих событий:

• регистрации CloudFilter;
• блокировки oplock;
• активности RPC, связанной с обновлением Defender;
• необычных символьных ссылок в диспетчере объектов;
• обращений к SAM;
• изменений паролей;
• создания временных служб.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.