Microsoft Defender стал вектором атаки — RedSun и UnDefend эксплуатируются без патча

Если у вас в инфраструктуре есть Windows 10, Windows 11 или Windows Server 2019+ с включённым Microsoft Defender — установите апрельские обновления и включите Attack Surface Reduction прямо сейчас: два из трёх слитых Windows zero-day эксплуатируются в реальных атаках и дают SYSTEM-привилегии, а патчей от Microsoft пока нет.

17 апреля 2026 года исследователи Huntress Labs сообщили в своём отчёте, что эксплойты BlueHammer, RedSun и UnDefend, слитые в сеть в начале месяца анонимным исследователем под ником Nightmare-Eclipse, теперь применяются в живых кибератаках. По данным BleepingComputer, BlueHammer атакуют с 10 апреля, а RedSun и UnDefend зафиксированы на устройстве, скомпрометированном через учётку SSLVPN — с признаками hands-on-keyboard-атаки (ручное управление оператором, а не автоматический скрипт).

Три zero-day в Microsoft Defender — что внутри

Все три бага находятся в Microsoft Defender — штатном антивирусе Windows, который установлен на миллионах машин по умолчанию. Парадокс уязвимостей в том, что атакующий использует сам механизм защиты: превращает Defender в инструмент для повышения привилегий или отключения собственных обновлений.

BlueHammer (CVE-2026-33825) — запатчен в апреле, эксплуатировался до патча

Local privilege escalation (локальное повышение привилегий) в Microsoft Defender. Microsoft выпустила патч в составе апрельского Patch Tuesday — 14 апреля 2026 года. Huntress зафиксировал эксплуатацию в атаках с 10 апреля — то есть за четыре дня до того, как вышло официальное исправление. На момент этих атак BlueHammer был полноценным zero-day без публичного патча.

RedSun — обход cloud-tag-механизма Defender

Самая опасная из трёх. Microsoft Defender при проверке файла сверяется с облачным сервисом репутации — cloud tag. Если вердикт помечает файл как вредоносный, антивирус отправляет его в карантин. Но в механизме реакции есть баг: при определённых условиях Defender не просто удаляет заражённый файл, а пытается «восстановить» его из облачного бэкапа обратно по исходному пути. PoC RedSun манипулирует путём восстановления так, чтобы Defender перезаписал системный файл Windows содержимым, подконтрольным атакующему. Запись идёт от процесса Defender, который работает с правами SYSTEM — поэтому обычный пользователь получает полные административные привилегии.

RedSun работает на Windows 10, Windows 11 и Windows Server 2019 и новее. Патча от Microsoft нет — даже после применения апрельских обновлений эксплойт продолжает работать.

UnDefend — блокировка обновлений Defender

Не про привилегии, а про «ослепление» защиты. UnDefend позволяет обычному пользователю (не админу) заблокировать обновление сигнатур и определений Windows Defender. Это значит, что после эксплуатации антивирус продолжает работать, но постепенно устаревает и перестаёт ловить новые угрозы. Идеальная подготовка почвы для последующих атак.

Хронология утечки и атак

1. Начало апреля 2026 — анонимный исследователь Nightmare-Eclipse (он же Chaotic Eclipse) публикует PoC всех трёх уязвимостей в знак протеста против того, как Microsoft Security Response Center (MSRC) обработал процесс раскрытия.
2. 10 апреля 2026 — Huntress фиксирует первые попытки эксплуатации BlueHammer в реальных атаках. На этот момент патча от Microsoft ещё нет, это полноценный zero-day.
3. 14 апреля 2026 — Microsoft выпускает апрельский Patch Tuesday, в котором BlueHammer получает CVE-2026-33825 и исправление. RedSun и UnDefend остаются без патча.
4. 16—17 апреля 2026 — на устройстве, взломанном через учётку SSLVPN, обнаружены эксплойты UnDefend и RedSun. Активность имеет признаки «hands-on-keyboard» — ручного управления оператором, а не автоматической малвари.
5. 17 апреля 2026 — Huntress публикует отчёт, BleepingComputer распространяет новость.

Что делать прямо сейчас

Универсального патча для RedSun и UnDefend нет. Ниже — шесть митигаций, первые три закрывают основной вектор атаки и должны быть сделаны прямо сейчас. Остальные — желательны, но не критичны, если первые три уже настроены.

1. [Обязательно] Установите апрельский Patch Tuesday — это закрывает BlueHammer (CVE-2026-33825). Актуально для всех поддерживаемых Windows.
2. [Обязательно] Включите Attack Surface Reduction (ASR) в Windows Defender — правила, которые блокируют типовые техники эксплуатации даже без патча на конкретный CVE. Минимальный набор — правила блокировки создания дочерних процессов Office-приложениями и запуска исполняемых файлов из писем.
3. [Обязательно] Проверьте журналы SSLVPN и RDP на признаки компрометации за последние две недели. Huntress указывает: эксплойты пришли именно через скомпрометированные учётки удалённого доступа. Конкретные сигналы — входы в нерабочие часы, логины с новых IP и ASN, серии неуспешных попыток перед успешным входом, одновременные сессии с разных географий.
4. [Желательно] Ограничьте модификацию системных файлов через Windows Defender Application Control (WDAC) или AppLocker — это снизит эффективность RedSun.
5. [Желательно] Настройте мониторинг обновлений сигнатур Defender — UnDefend блокирует их незаметно, и машина считается защищённой, хотя новые угрозы уже не ловятся.
6. [Желательно] Рассмотрите EDR (Endpoint Detection and Response, решения для обнаружения и реагирования на угрозы) третьих сторон — если ваш SOC зависит только от Defender, на текущий момент это single point of failure (единая точка отказа).

Почему исследователь слил всё публично

Nightmare-Eclipse в предыдущем комментарии BleepingComputer объяснил публикацию PoC как протест против практик MSRC: по его словам, Microsoft затягивала с исправлениями и не реагировала на репорты в приемлемые сроки. Позиция Microsoft противоположная.

Microsoft имеет обязательство перед клиентами расследовать заявленные проблемы безопасности и обновлять затронутые устройства для защиты пользователей как можно быстрее. Мы также поддерживаем скоординированное раскрытие уязвимостей — широко принятую индустриальную практику, которая помогает гарантировать, что проблемы тщательно исследуются и устраняются до публичного раскрытия, что служит и защите клиентов, и сообществу исследователей безопасности.

Представитель Microsoftкомментарий для BleepingComputer, 17 апреля 2026

Независимо от того, кто прав в этом конкретном конфликте, практический результат одинаковый для всех админов: публичный PoC плюс медленная реакция вендора равно эксплуатация в атаках за считаные дни.

Итог

Конфликт между исследователем и MSRC превратился в реальные атаки на инфраструктуру. Для администраторов главное — не ждать следующего Patch Tuesday молча, а закрыть то, что можно закрыть сейчас: апрельские обновления, ASR-правила и проверку журналов удалённого доступа. RedSun и UnDefend — это не теоретические угрозы, это инструменты, которые уже используют для закрепления на скомпрометированных машинах.

Источники: BleepingComputer, Huntress Labs, Microsoft Security Update Guide (CVE-2026-33825).