Microsoft Defender Elevation of Privilege Vulnerability

Falha de escalonamento de privilégios local no Windows Defender (CWE-1220, granularidade insuficiente de controle de acesso) que permite a um atacante com acesso local elevar privilégios até SYSTEM. É a vulnerabilidade por trás da ferramenta pública 'BlueHammer', publicada pelo pesquisador que se autodenomina Nightmare-Eclipse/Chaotic Eclipse após frustração com o processo de disclosure da Microsoft. Está no catálogo KEV da CISA com exploração confirmada e a Huntress documentou uso real da tooling em uma intrusão, o que eleva a prioridade de correção mesmo com CVSS 'apenas' 7.8.

O mecanismo técnico, descrito pela Huntress a partir da análise do PoC público, combina duas técnicas. A primeira é um TOCTOU (Time Of Check, Time Of Use — CWE-367) clássico: existe uma janela entre o momento em que o Defender verifica uma condição e o momento em que ela é efetivamente usada, e o atacante corre para modificar o estado nesse intervalo. A segunda técnica, sem CWE específico segundo a Huntress, é o abuso do processo de Volume Shadow Copy que o Defender cria ao remediar um arquivo malicioso ou entrar em certos fluxos de atualização — o atacante consegue 'pausar' o Defender com essa Volume Shadow Copy exposta, e ao controlar esse congelamento, transforma uma corrida normalmente estreita e pouco confiável em uma janela de tempo que ele próprio dita.

O exploit usa oplocks (locks de operação) para manter arquivos 'abertos' como sinal de sincronização — é assim que o operador sabe quando o Defender está ativamente escaneando ou remediando algo, já que o próprio Defender pode remover esses oplocks. Isso serve como gatilho para saber quando a pré-condição da corrida foi atingida. O CVE catalogado oficialmente usa CWE-1220 (Insufficient Granularity of Access Control), que é a classificação formal da Microsoft/CISA; a análise técnica da Huntress descreve o mecanismo real como TOCTOU (CWE-367) combinado com o abuso do Volume Shadow Copy — são descrições complementares do mesmo problema, uma classificatória e outra mecânica.

O resultado da exploração, segundo a Huntress, é a obtenção de um handle de leitura arbitrária sobre a base de dados SAM (Security Account Manager), que armazena material de credenciais no Windows. A partir daí a escalação para SYSTEM se torna trivial em ambientes com o patch anterior a abril de 2026.

Vale notar uma divergência entre as fontes: o vetor CVSS oficial da Microsoft marca PR:L (privilégio baixo necessário), enquanto a Huntress descreve o exploit como algo que um 'usuário não autenticado' consegue disparar contra a SAM. Essa diferença não foi conciliada nas fontes disponíveis — trate a exigência formal (PR:L, acesso local com privilégio baixo) como a condição documentada pelo fornecedor, e a afirmação da Huntress como a demonstração prática observada pelos pesquisadores.

Pré-requisito real: acesso local à máquina Windows com algum nível de privilégio (conforme vetor CVSS: AV:L/PR:L), sem necessidade de interação do usuário (UI:N). Não é uma falha exploravel remotamente sem antes ter pé em algum host — serve para escalar de um usuário comum para SYSTEM depois que o atacante já tem execução de código na máquina, o que é o cenário típico de pós-exploração ou de malware já em execução com privilégios limitados.

A Huntress observou o uso real da ferramenta BlueHammer (junto com as ferramentas irmãs RedSun e UnDefend, ainda não corrigidas na data de publicação do blog) durante uma investigação de intrusão. A entrada inicial foi ligada a acesso comprometido de VPN SSL FortiGate, com pelo menos um IP de origem geolocalizado na Rússia. Durante o incidente, o operador executou reconhecimento manual (whoami /priv, cmdkey /list, net group) e posicionou binários suspeitos em diretórios graváveis por usuário comuns, como a pasta Pictures e subpastas curtas dentro de Downloads — um binário chamado agent.exe (apelidado BeigeBurrow pela Huntress) parecia fornecer tunelamento para acesso subsequente.

Um ponto relevante para calibrar o risco: no caso investigado pela Huntress, nenhuma das três ferramentas teve sucesso confirmado durante a intrusão, e o próprio comportamento do operador sugeriu falta de familiaridade com UnDefend. Ou seja, há exploração ativa em campo (o que justifica a entrada no KEV), mas a execução observada não necessariamente resultou em escalonamento bem-sucedido naquele incidente específico — o risco é real, mas a barra operacional para o atacante não é trivial.

A Microsoft lançou correção para CVE-2026-33825 (BlueHammer) como parte das atualizações de abril de 2026 do Defender Antimalware Platform. As fontes disponíveis não trazem o número de build/versão exato do patch — consulte o advisory do MSRC para a versão específica antes de considerar o ambiente corrigido, e não assuma que qualquer atualização automática do Defender já contempla a correção sem verificar a versão da plataforma antimalware instalada.

O catálogo KEV da CISA definiu prazo de correção até 2026-05-06 e recomenda aplicar as mitigações do fornecedor ou, na ausência delas, descontinuar o uso do produto — o que na prática, para o Defender, significa priorizar a atualização da plataforma sobre qualquer controle compensatório. Como o exploit depende de acesso local e de sincronização fina com o comportamento do Defender (oplocks, Volume Shadow Copy), restringir esse acesso local (endpoint hardening, princípio de menor privilégio, EDR adicional que monitore criação anômala de Volume Shadow Copy) reduz a superfície, mas não substitui o patch.

Importante: as ferramentas irmãs RedSun e UnDefend, do mesmo autor e com mecanismos relacionados, permaneciam sem correção na data de publicação da análise da Huntress (20 de abril de 2026) — corrigir apenas CVE-2026-33825 não neutraliza toda a superfície de escalonamento de privilégio exposta pela pesquisa de Nightmare-Eclipse contra o Defender.

Sinais de reconhecimento pós-exploração associados à atividade observada: execução de comandos como whoami /priv, cmdkey /list e net group em sequência hands-on-keyboard. Presença de binários suspeitos staged em diretórios graváveis por usuário fora do padrão de instalação normal, como dentro da pasta Pictures ou em subpastas de nomes curtos sob Downloads — no caso observado, um binário agent.exe funcionando como componente de tunelamento (apelidado BeigeBurrow). Vale revisar logs de acesso VPN SSL (no caso documentado, FortiGate) por IPs de origem incomuns ou geolocalizados fora do padrão da organização, já que o acesso inicial na intrusão observada veio por essa via.

Não há assinatura confiável e específica para a exploração do TOCTOU/Volume Shadow Copy em si nas fontes disponíveis — o comportamento de pausar o Defender e manipular oplocks é difícil de distinguir de atividade legítima de scan/remediação sem instrumentação detalhada do processo do Defender. Trate a ausência de detecção direta do exploit como lacuna real: a defesa prática depende mais de monitorar os artefatos pós-exploração (binários staged, reconhecimento, tunelamento) do que de detectar a corrida em si.