Nauja „zero-day“ spraga „Windows Defender“ pasirodė praėjus kelioms valandoms po rekordinio „Patch Tuesday“

Praėjus kelioms valandoms po to, kai „Microsoft“ ↘ 0.24% antradienį išleido savo didžiausią visų laikų „Patch Tuesday“ atnaujinimą, saugumo tyrėjas, žinomas kaip „Nightmare Eclipse“, paskelbė naują koncepcijos įrodymo (proof-of-concept) išnaudojimo įrankį, pavadintą „RoguePlanet“, kuris suteikia SYSTEM lygio teises visiškai atnaujintose „Windows 10“ ir „Windows 11“ sistemose per „Microsoft Defender“ lenktynių sąlygą.

Išnaudojimas

Kibernetinio saugumo įmonė „ThreatLocker“ patvirtino „BleepingComputer“, kad išnaudojimo įrankis veikia taip, kaip aprašyta, sėkmingai atkartodama spragą „Windows 11“ sistemose su įdiegtu 2026 m. birželio mėn. kaupiamuoju atnaujinimu KB5094126. „Mūsų pradinė analizė patvirtina, kad „RoguePlanet“ išnaudojimas yra gyvybingas ir veikia taip, kaip aprašyta“, – „BleepingComputer“ sakė „ThreatLocker“ generalinis direktorius Danny Jenkinsas. „Organizacijos, naudojančios programų leidimų sąrašus (allowlisting), gali užkirsti kelią šio išnaudojimo vykdymui, suteikdamos veiksmingą apsaugos sluoksnį nuo šios atakos.“bleepingcomputer

„Nightmare Eclipse“ pasidalijo koncepcijos įrodymu savo talpinamoje „Git“ saugykloje po to, kai pareiškė, kad „Microsoft“ anksčiau pašalino „GitHub“ ir „GitLab“ saugyklas, kuriose buvo talpinami ankstesni išnaudojimo įrankiai. „Išnaudojimas yra lenktynių sąlyga, todėl tai loterija. Kai kuriuose kompiuteriuose man pavyko pasiekti 100 % sėkmės rodiklį, o kituose jis veikė sunkiai“, – rašė tyrėjas. Išnaudojimas iš pradžių buvo sukurtas kaip nuotolinio kodo vykdymo pažeidžiamumas, išnaudojantis „Defender“ failų tvarkymą nuotoliniuose SMB bendrinamuose aplankuose, tačiau „Microsoft“ gegužės viduryje tyliai sugriežtino paveiktą API, priversdama perrašyti kodą, kuris dabar jį apriboja iki vietinio privilegijų eskalavimo.bleepingcomputer

Augantis ginčas

„RoguePlanet“ yra naujausias per kelis mėnesius trukusią tyrėjo kampaniją prieš „Microsoft“. Nuo 2026 m. balandžio pradžios „Nightmare Eclipse“ išleido daugybę „zero-day“ išnaudojimo įrankių, įskaitant „BlueHammer“, „RedSun“, „UnDefend“, „YellowKey“, „GreenPlasma“ ir „MiniPlasma“ – visi jie nukreipti į „Windows“ komponentus, tokius kaip „Defender“ ir „BitLocker“. „Microsoft“ ištaisė „GreenPlasma“ ir „YellowKey“ kaip „Patch Tuesday“ antradienio laidos dalį, kurioje buvo išspręsta daugiau nei 200 pažeidžiamumų ir trys viešai atskleistos „zero-day“ spragos.bleepingcomputer+3

Birželio mėnesio atnaujinime taip pat buvo ištaisyta CVE-2026-41091, „Defender“ privilegijų eskalavimo spraga, įtraukta kaip viešai žinoma ir aktyviai išnaudojama.thezdi

„Microsoft“ atsakymas

„Microsoft“ iš pradžių į atskleidimo kampaniją reagavo įspėjimais apie bendradarbiavimą su teisėsauga prieš tuos, kurie užsiima „kenkėjiška veikla, darančia realią žalą“, o tai sulaukė kibernetinio saugumo bendruomenės pasipiktinimo. Vėliau bendrovė pakeitė kursą, patikslindama, kad neketina imtis teisinių veiksmų prieš asmenis, užsiimančius pažeidžiamumų identifikavimu, ir grįžo prie savo „koordinuoto pažeidžiamumų atskleidimo“ sistemos. „Nightmare Eclipse“ ignoravo šį taikos gestą ir toliau platina išnaudojimo įrankius per nepriklausomą platformą.notebookcheck+1