🔵 CVE-2026-33825 — “BlueHammer” 🔵

Microsoft Defender — локальное повышение привилегий (LPE)

---

BlueHammer — это уязвимость локального повышения привилегий высокой степени серьезности, затрагивающая компоненты Microsoft Defender в системах Windows.
Ошибка позволяет атакующему с низкими привилегиями повысить их до NT AUTHORITY\SYSTEM через злоупотребление состояниями гонки в файловой системе и привилегированными операциями Defender.

📌 Обзор

🧠 Что такое BlueHammer?

BlueHammer — это уязвимость состояния гонки TOCTOU (Time-of-Check to Time-of-Use) внутри привилегированных операций Microsoft Defender.

Уязвимость, как сообщается, использует:

• символические ссылки NTFS
• Точки повторной обработки (Reparse points)
• оппортунистические блокировки (Oplocks)
• рабочие процессы исправления/обновления Defender
• привилегированная обработка файлов

Эксплойт манипулирует Defender, заставляя его выполнять привилегированные файловые операции над контролируемыми атакующим целями.

⚠️ Воздействие

Успешная эксплуатация может позволить атакующим:

• Получить NT AUTHORITY\SYSTEM
• Извлечь учетные данные
• Получить доступ к кустам SAM/SYSTEM
• Отключить средства безопасности
• Зафиксироваться в системе
• Развернуть программы-вымогатели
• Перемещаться по корпоративной сети

🏗️ Общая схема эксплуатации

Low Privileged User
        │
        ▼
Trigger Defender Operation
        │
        ▼
Exploit TOCTOU Race Condition
        │
        ▼
Redirect Privileged File Operation
        │
        ▼
Overwrite / Move Protected Files
        │
        ▼
Execute Code as SYSTEM

🔍 Технические концепции

⏱️ Состояние гонки TOCTOU

BlueHammer использует разрыв между:

Time of Check
        ↓
Time of Use

Defender проверяет файл/путь, но до завершения привилегированной операции атакующий подменяет цель.

🔗 Точки повторной обработки NTFS и символические ссылки

Как сообщается, атакующие используют:

• точки соединения (junctions)
• символические ссылки
• ссылки диспетчера объектов

Пример концептуально:

Defender believes:
C:\Temp\safe.txt

Actually redirected to:
C:\Windows\System32\protected_file

🧊 Оппортунистические блокировки (Oplocks)

Oplocks помогают атакующим временно заморозить файловые операции:

Defender accesses file
        ↓
Attacker pauses operation
        ↓
Target gets swapped
        ↓
Defender resumes with SYSTEM privileges

Это повышает надежность использования состояния гонки.

🖥️ Затронутые компоненты

Как сообщается, затронуты:

• MsMpEng.exe
• MpSigStub.exe
• конвейер исправления Defender
• рабочие процессы обновления Defender

🧨 Почему это важно

Программное обеспечение безопасности:

• работает с повышенными привилегиями,
• взаимодействует с недоверенными файлами,
• выполняет автоматическое исправление.

Это делает уязвимости состояния гонки в файловой системе чрезвычайно опасными.

BlueHammer показал, что:

само защитное программное обеспечение может стать вектором повышения привилегий.

🛡️ Смягчение

Рекомендуемые действия

✅ Обновление Microsoft Defender

Установите последние обновления платформы Defender.

✅ Установка обновлений безопасности Windows

Убедитесь, что все обновления Patch Tuesday установлены.

✅ Мониторинг подозрительной активности

Обратите внимание на:

• неожиданные оболочки SYSTEM,
• взаимодействие Defender с необычными путями,
• аномальная активность VSS,
• подозрительное создание символических ссылок.

✅ Ограничение локального выполнения

Ограничьте выполнение для недоверенных пользователей и приложений.

🧪 Индикаторы эксплуатации

Потенциальные индикаторы могут включать:

Unexpected Defender file operations
SYSTEM-level cmd.exe / powershell.exe
Suspicious NTFS reparse points
Abnormal Defender remediation events
Oplock abuse patterns

🔬 Связанные уязвимости

📚 Ключевые концепции

⚖️ Отказ от ответственности

Этот репозиторий/документация предоставлены для:

• образовательных целей,
• исследований в области защиты,
• осведомленности об уязвимостях.

Не используйте эту информацию для несанкционированных действий.