RoguePlanet بواسطة Nightmare-Eclipse

HONDA بواسطة nu11secur1ty

ثغرة RoguePlanet في Windows Defender

المؤلفون:

• مطور الاستغلال الأصلي Nightmare-Eclipse
• التطوير والاختبار والتسليح nu11secur1ty (مهندس اختبار الاختراق)

---

🧠 التحليل الفني بواسطة nu11secur1ty

يستغل هذا الاستغلال حالة سباق (race condition) بين روتين تنظيف Windows Defender (MpCleanCallbackFunction) وعملية إنشاء نسخة الظل (Volume Shadow Copy).

💀 طلقة واحدة، قتل واحد – 0-DAY

عند أول إصابة ناجحة، يقوم الاستغلال بما يلي:

• الحصول على صلاحيات NT AUTHORITY\SYSTEM
• تعطيل Windows Defender (MsMpEng.exe) بسبب استخدام بعد التحرير (use-after-free) في خط أنابيب التنظيف
• يترك النظام بلا حماية لبقية الجلسة

مايكروسوفت لا يمكنها تصحيح هذا. ليس لأنها لا تعرف كيف. بل لأن منطقها الأمني والتجاري خاطئ تماماً.

---

🔧 سلوك ما بعد الاستغلال:

• تركيب جهاز وهمي – يحاكي جهاز ISO مثبت باستخدام OpenVirtualDisk و AttachVirtualDisk
• صدفة SYSTEM – يطلق وحدة تحكم مخفية عبر CreateProcessAsUser
• الثبات – مهمة مجدولة لتقارير أخطاء Windows (QueueReporting)
• انهيار Defender – تلف في الذاكرة في خط أنابيب التنظيف

🛠️ التحسينات التي أضافها nu11secur1ty:

• تصعيد الأولوية – REALTIME_PRIORITY_CLASS + THREAD_PRIORITY_TIME_CRITICAL
• إبطاء Defender – Sleep(50) داخل MpCleanCallbackFunction
• إعداد سباق السرعة – الفوز بالسباق ضد السيد Windows Defender

---

🩹 ملاحظة التصحيح (بواسطة nu11secur1ty):

"تم تصحيح ملف README هذا – ليس لإصلاح أمن مايكروسوفت المكسور، بل لإضافة الشيء الوحيد الذي كان مفقوداً: الحقيقة.

طلقة واحدة. SYSTEM واحد. Defender معطّل. مايكروسوفت مخطئة.

جرّب أن تصحّح ذلك يا Redmond."

---

📌 ملاحظة ختامية من nu11secur1ty:

"أثبتُ هذا القرف، والمنطق الأمني والتجاري الخاطئ تماماً لمايكروسوفت، باستخدام استغلال MSNightmare مع إعداد بسيط لسباق السرعة مع السيد Windows Defender – phahaha :)

يا إلهي. يمكنكم دعمي، أعزائي جميعاً، عندما تشتركون في قناتي على Patreon. شكراً جزيلاً...

بارك الله فيكم جميعاً."

---

طلقة واحدة. SYSTEM واحد. Defender معطّل. مايكروسوفت مخطئة.