RoguePlanet by Nightmare-Eclipse

HONDA by nu11secur1ty

RoguePlanet Windows Defender 취약점

저자:

• 원본 익스플로잇 개발자 Nightmare-Eclipse
• 개발, 테스트 및 무기화 nu11secur1ty (침투 테스트 엔지니어)

---

🧠 nu11secur1ty의 기술 분석

이 익스플로잇은 Windows Defender 정리 루틴(MpCleanCallbackFunction)과 볼륨 섀도 복사 생성 프로세스 사이의 경쟁 조건(race condition) 을 활용합니다.

💀 원 샷, 원 킬 – 0-DAY

첫 번째 성공적인 공격이 발생하면, 익스플로잇은 다음을 수행합니다:

• NT AUTHORITY\SYSTEM 권한 획득
• 정리 파이프라인의 use-after-free로 인해 Windows Defender(MsMpEng.exe)를 충돌시킵니다
• 세션이 끝날 때까지 시스템을 무방비 상태로 만듭니다

Microsoft는 이를 패치할 수 없습니다. 방법을 모르기 때문이 아닙니다. 그들의 보안 및 비즈니스 로직이 완전히 잘못되었기 때문입니다.

---

🔧 사후 익스플로잇 동작:

• 가짜 디바이스 마운트 – OpenVirtualDisk 및 AttachVirtualDisk를 사용하여 마운트된 ISO 디바이스를 시뮬레이션합니다
• SYSTEM 셸 – CreateProcessAsUser를 통해 숨겨진 콘솔을 실행합니다
• 지속성(Persistence) – Windows 오류 보고 예약 작업(QueueReporting)
• Defender 충돌 – 정리 파이프라인의 메모리 손상

🛠️ nu11secur1ty의 개선 사항:

• 우선순위 상향 – REALTIME_PRIORITY_CLASS + THREAD_PRIORITY_TIME_CRITICAL
• Defender 지연 – MpCleanCallbackFunction 내부의 Sleep(50)
• 스피드 레이싱 설정 – THE MASTER Windows Defender와의 경쟁에서 승리

---

🩹 패치 노트 (by nu11secur1ty):

"이 README는 패치되었습니다 – Microsoft의 깨진 보안을 고치기 위해서가 아니라, 누락된 유일한 것: 진실.

원 샷. 하나의 SYSTEM. Defender 다운. Microsoft는 틀렸다.

그걸 패치해 보세요, Redmond."

---

📌 nu11secur1ty의 마지막 메모:

"저는 이 SHIT를 증명했습니다. 그리고 MSNightmare의 익스플로잇을 약간의 SPEED RACING 설정으로 THE MASTER Windows Defender와 함께 사용하여 Microsoft의 보안 및 비즈니스 로직이 ABSOLUTELY WRONG임을 증명했습니다 – phahaha :)

O.M.G. 사랑하는 여러분, 제 Patreon 채널을 구독하시면 저를 지원하실 수 있습니다. 정말 감사합니다...

신의 축복이 여러분 모두에게 있기를."

---

원 샷. 하나의 SYSTEM. Defender 다운. Microsoft는 틀렸다.