文章总结： CVE-2026-33825(BlueHammer)是WindowsDefender引擎中的TOCTOU本地提权漏洞，CVSS7.8，已公开PoC并被勒索组织在野利用。攻击者需先获得低权限代码执行，通过oplock和junction技术以SYSTEM权限覆盖系统文件。核心修复是更新Defender平台至4.18.26030.3011或更高，并建议强化边界VPN与文件完整性监控。 综合评分： 85 文章分类： 漏洞分析,应急响应,威胁情报,恶意软件,红队
CVSS 7.8！Windows Defender 自己的引擎被武器化：BlueHammer 提权正被勒索组织疯抢
原创
星夜AI安全 星夜AI安全
星夜AI安全
2026年8月17日 15:47 吉林
在小说阅读器读本章
去阅读
🌈
CVE-2026-33825「BlueHammer」——Windows Defender 威胁修复引擎的 TOCTOU 竞态条件，低权限本地用户无需管理员即可拿下 SYSTEM。公开 PoC 已武器化，被勒索组织用于入侵链，CISA 已列入 KEV。
一、漏洞全貌
- 漏洞编号：CVE-2026-33825（代号 BlueHammer，配套变体 RedSun、UnDefend）
- 影响产品：Microsoft Defender Antimalware Platform（msmpeng.exe 实时保护引擎）
- 漏洞类型：本地权限提升（LPE）——Time-of-Check to Time-of-Use（TOCTOU）竞态条件，CWE-1220 访问控制粒度不足
- CVSS 3.1：7.8（High），向量
AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H - 披露时间：2026-04-03 由研究员别名 Chaotic Eclipse / Nightmare-Eclipse 公开 PoC（无任何协调披露、无补丁）
- 在野利用：已确认。Huntress 观察到首批利用出现在 2026-04-10（补丁前 4 天），04-16 出现第二波；相关入侵通过 FortiGate SSL VPN 进入，攻击者基础设施地理定位指向俄罗斯等地
- CISA KEV：已列入已知被利用漏洞目录，联邦修复截止日 2026-05-07（现已过）
- 勒索武器化：Kaspersky Q2 2026 报告明确将 BlueHammer 列为勒索攻击中持续利用的 Windows 漏洞
一句话：杀毒软件本该是防御者，结果它自己的引擎成了提权跳板。
二、影响版本与环境
- 受影响系统：Windows 10（全受支持版本）、Windows 11（全受支持版本）、Windows Server 2016 / 2019 / 2022 / 2025 —— 凡是 2026 年 4 月之前 的 Defender 平台版本均在列。
- 精确修复版本：Defender Antimalware Platform 4.18.26030.3011 及之后（2026-04-14 补丁日随平台更新推送）。
- Server 备注：公开测试与研究者陈述表明，该利用在 Windows Server 各版本上不能稳定产出 SYSTEM，部分配置下仅能拿到提升的管理员权限——但客户端（10/11）是完整可达的。
- 利用前提：攻击者已具备本机低权限代码执行（钓鱼、凭据复用、其他漏洞落地），无需管理员、无需用户交互、无需远程初始访问。
- 修复状态：BlueHammer 已由 4 月补丁日修复；RedSun、UnDefend 截至披露期仍未修补。
三、漏洞原理与利用条件
Defender 的实时保护引擎 MsMpEng.exe 以 NT AUTHORITY\SYSTEM 身份运行。当它发现恶意文件并做「隔离 / 删除 / 回滚」修复动作时，这些文件操作以 SYSTEM 权限执行。漏洞的核心在于：Defender 在「检查路径」与「真正写入」两个动作之间，没有充分校验路径是否被篡改。
BlueHammer 的利用链（公开 PoC 重构，仅用于理解）：
- 在攻击者可控目录下扔一个必然触发 Defender 检测的诱饵文件（研究者用 EICAR 形态）。
- 对该文件施加批处理机会锁（oplock），在 Defender 打开文件做修复时，内核把 Defender 的 I/O 冻结在关键指令边界。
- 在 Defender 冻结的瞬间，把攻击者目录替换为指向
C:\Windows\System32的 NTFS 交接点（junction）。 - 释放 oplock，Defender 以 SYSTEM 权限恢复执行，顺着 junction 把输出写进 System32——覆盖攻击者选定的系统二进制 / 计划任务 DLL。
- 该二进制下次被执行（服务启动、登录任务、更新钩子）时，攻击者载荷以 SYSTEM 运行。
RedSun 复用同一「oplock + junction」原语，但打的是 Defender 的云文件回滚路径（Windows Cloud Files / OneDrive placeholder 逻辑）；UnDefend 则监控签名更新，在 Defender 消费前锁死定义文件，使其静默失效。结论：只要 Defender 必须做特权文件操作，每一个用户可影响的句柄都是潜在 TOCTOU 点——修一个（BlueHammer 隔离逻辑）不会自动修掉相邻的（RedSun 云回滚）。
🌈
注：以上为机制说明，非武器化步骤。公开完整利用代码见研究员仓库，本文不另行提供可执行利用。
四、漏洞复现步骤（关键代码部分）
🌈
仅限授权实验环境。以下步骤用于验证与防御研究，严禁用于未授权系统。
1. 环境：未打 4 月平台更新的 Windows 10/11 虚拟机，低权限标准账户。
2. 获取公开 PoC（来源已公开，自行检索研究员 Chaotic Eclipse 仓库与 SNEK 重实现分支，后者附带预编译二进制与构建说明）：
# 以研究者公开仓库为准（名称以 Chaotic-Eclipse 账号检索）
git clone https://github.com/Chaotic-Eclipse/BlueHammer.git
cd BlueHammer
msbuild BlueHammer.sln /p:Configuration=Release
# 低权限用户直接运行，无需管理员
.\BlueHammer.exe
3. 观察：利用成功后，目标系统二进制被覆盖，重启相关服务即以 SYSTEM 运行载荷；蓝队侧应捕获到「Defender 进程对 System32 的异常写入」与「oplock/junction 创建」事件。
4. 蓝队验证 / 检测脚本（推荐在真实环境常态化运行）——检查 Defender 平台版本并狩猎异常 junction：
# 1) 核查 Defender 平台版本是否 >= 4.18.26030.3011
$ver = Get-MpComputerStatus | Select-Object -ExpandProperty AMProductVersion
Write-Host "Defender Platform: $ver"
if ([version]$ver -lt [version]"4.18.26030.3011") {
Write-Warning " vulnerable to CVE-2026-33825 (BlueHammer)"
}
# 2) 狩猎：签名进程对非系统目录创建 junction / 可疑 oplock
# 借助 Sysmon EventID 11(文件创建)+EventID 7(模块加载) 关联：
# Image=MsMpEng.exe 且 TargetFilename 位于 C:\Windows\System32
# 即为高危信号，应直接告警。
注意事项：Windows Server 上利用不稳定；该利用需要「先有低权限 foothold」，所以它本身不是初始入口，而是勒索链里「提权到 SYSTEM」那一环。
五、修复建议与缓解方案
- 根本修复：将 Microsoft Defender Antimalware Platform 更新至 4.18.26030.3011 或更高。可在「Windows 安全中心 → 关于」查看平台版本，并手动触发「病毒和威胁防护」定义/平台更新。
- 临时缓解：
- 在补丁到位前，对非必要主机收紧 Defender 平台自动更新通道，确保 4 月平台更新尽快落地；
- 强化边界 VPN（如 FortiGate SSL VPN）的 MFA 与日志审计，切断「先 foothold、后 BlueHammer」的入侵前半段；
- 对
C:\Windows\System32的异常写入、计划任务 DLL 替换做实时文件完整性监控（FIM）。 - 针对 RedSun / UnDefend（尚未修补）：重点监控 Defender 云回滚目录与定义文件锁行为，对 MsMpEng 的文件操作做全量 Sysmon 捕获。
- 紧急程度评估：高。公开 PoC + 在野利用 + 勒索武器化 + 客户端稳定可达 SYSTEM，构成典型「应优先处置」组合。但需注意：它依赖既有 foothold，因此与补丁节奏、VPN 加固、EDR 覆盖度强相关——三者任一做得好，实际暴露面都会显著下降。
六、相关链接
- MSRC 官方公告：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33825[1]
- CISA KEV 目录：https://www.cisa.gov/known-exploited-vulnerabilities-catalog[2]
- NVD：https://nvd.nist.gov/vuln/detail/CVE-2026-33825[3]
- Picus Security BlueHammer 技术拆解（2026-04-16）
- Huntress Labs 在野利用观测报告
- SecurityWeek《Recent Microsoft Defender Vulnerability Exploited as Zero-Day》
- Kaspersky Securelist Q2 2026 IT 威胁演化（BlueHammer 勒索利用）
圈子介绍
现任职于某头部网络安全企业攻防研究部，核心红队成员。2021-2023年间累计参与40+场国家级、行业级攻防实战演练，精通漏洞挖掘、红蓝对抗策略制定、恶意代码分析、内网横向渗透及应急响应等技术领域。在多次大型演练中，主导突破多个高防护目标网络，曾获”最佳攻击手””突出贡献个人”等荣誉。
已产出的安全工具及成果包括：
- 多款主流杀软通杀工具（兼容卡巴斯基、诺顿、瑞星、360等终端防护，无感知运行，突破多引擎联合检测）
- XXByPassBehinder v1.1 冰蝎免杀生成器（定制化冰蝎免杀工具，绕过主流终端防护与EDR动态检测，支持自定义载荷）
- 哥斯拉二开免杀定制版（二开优化，深度免杀，突破终端防护与EDR检测，适配多场景植入）
- NeoCS4.9终极版（高级免杀加载工具，强化载荷注入与进程劫持，适配多系统版本，无兼容问题）
- WinDump_免杀版（浏览器凭证窃取工具，支持Chrome/Edge/Firefox等主流浏览器，一键提取敏感数据，免杀过防护）_
- _DumpBrowser_V1_免杀版（浏览器凭证窃取工具，专攻浏览器密码、Cookie、历史记录提取，免杀性能拉满）
- fscan二开版（二开优化内网扫描工具，增强指纹精度、弱口令爆破与结果标准化输出，适配复杂内网）
- RingQ加载器二开版（二开优化免杀加载器，支持Shellcode内存执行，绕过各类终端防护与EDR检测）
- 多款免杀Webshell集合（覆盖PHP/JSP/ASPX，过主流WAF与终端防护，适配不同Web场景）
- 免杀360专属加载器（支持Shellcode内存执行，针对性绕过360全系防护检测，无感知运行）
- 一键Kill 火绒 defender 工具 HDKiller（包含源码）
- win11 一键kill 360工具 InjectKill（包含源码）
- win11 一键kill defender工具win11_df-killer（包含源码）
- 免杀火绒6.0内存防护加载器BypassMemLoader
- 单文件过360 免杀loader exe_bypass_360
- 单文件过火绒 df 免杀loader exe_bypass_df(包含源码)
- LNK钓鱼文件生成工具V1.0
- EXE捆绑启动器 v2.0
- 火绒6内存免杀加载器bypasshr6
- 火绒一键Kill专杀工具HRKiller
- Ring3 内存免杀工具Ring3bypasshr.exe
- win11 一键kill 360工具 Kill360_V2
- win11 一键kill 360工具 Kill360_V3.1
后续将不断更新到内部圈子中 欢迎加入圈子
引用链接
[1]https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33825
[2]https://www.cisa.gov/known-exploited-vulnerabilities-catalog
[3]https://nvd.nist.gov/vuln/detail/CVE-2026-33825
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：星夜AI安全 星夜AI安全 星夜AI安全《CVSS 7.8！Windows Defender 自己的引擎被武器化：BlueHammer 提权正被勒索组织疯抢》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论