🔵 CVE-2026-33825 — “BlueHammer” 🔵

Microsoft Defender 本地权限提升（LPE）

---

BlueHammer 是一个高严重性的本地权限提升漏洞，影响 Windows 系统上的 Microsoft Defender 组件。
该缺陷允许低权限攻击者通过滥用文件系统竞态条件和特权的 Defender 操作，将权限提升至 NT AUTHORITY\SYSTEM。

📌 概览

🧠 什么是BlueHammer？

BlueHammer 是一个存在于特权Microsoft Defender操作中的 TOCTOU（Time-of-Check to Time-of-Use） 竞态条件漏洞。

该漏洞据报告滥用：

• NTFS符号链接
• 重解析点
• 机会锁（Oplocks）
• Defender修复/更新工作流
• 特权文件处理

该漏洞利用会操纵Defender在攻击者控制的目标上执行特权文件系统操作。

⚠️ 影响

成功利用可能允许攻击者：

• 获得 NT AUTHORITY\SYSTEM
• 转储凭据
• 访问SAM/SYSTEM配置单元
• 禁用安全产品
• 建立持久性
• 部署勒索软件
• 在企业环境中横向移动

🏗️ 高级利用流程

Low Privileged User
        │
        ▼
Trigger Defender Operation
        │
        ▼
Exploit TOCTOU Race Condition
        │
        ▼
Redirect Privileged File Operation
        │
        ▼
Overwrite / Move Protected Files
        │
        ▼
Execute Code as SYSTEM

🔍 技术概念

⏱️ TOCTOU竞态条件

BlueHammer 滥用以下两者之间的间隙：

Time of Check
        ↓
Time of Use

Defender 验证文件/路径，但在特权操作完成之前，攻击者交换了目标。

🔗 NTFS重解析点与符号链接

据报告，攻击者会使用：

• 连接点
• 符号链接
• 对象管理器链接

来重定向特权Defender操作。

概念示例：

Defender believes:
C:\Temp\safe.txt

Actually redirected to:
C:\Windows\System32\protected_file

🧊 机会锁（Oplocks）

Oplocks 帮助攻击者暂时冻结文件操作：

Defender accesses file
        ↓
Attacker pauses operation
        ↓
Target gets swapped
        ↓
Defender resumes with SYSTEM privileges

这提高了竞态条件的可靠性。

🖥️ 受影响的组件

据报告受影响的有：

• MsMpEng.exe
• MpSigStub.exe
• Defender修复管道
• Defender更新工作流

🧨 为何重要

安全软件：

• 以提升的权限运行，
• 与不受信任的文件交互，
• 执行自动修复。

这使得文件系统竞态条件漏洞极其危险。

BlueHammer 证明：

防御软件本身可能成为权限提升的载体。

🛡️ 缓解措施

建议操作

✅ 更新Microsoft Defender

安装最新的Defender平台更新。

✅ 应用Windows安全更新

确保已安装所有补丁星期二更新。

✅ 监控可疑活动

注意以下迹象：

• 意外的SYSTEM shell，
• Defender与异常路径交互，
• 异常的卷影副本（VSS）活动，
• 可疑的符号链接创建。

✅ 限制本地执行

限制不受信任用户和应用程序的执行。

🧪 利用指标

潜在指标可能包括：

Unexpected Defender file operations
SYSTEM-level cmd.exe / powershell.exe
Suspicious NTFS reparse points
Abnormal Defender remediation events
Oplock abuse patterns

🔬 相关漏洞

📚 关键概念

⚖️ 免责声明

本仓库/文档提供用于：

• 教育目的，
• 防御性安全研究，
• 漏洞意识。

请勿使用此信息进行未经授权的活动。