Третий подряд обход Microsoft Defender: заявленный инструмент ShieldCrash не подтверждён проверкой

История началась в июне 2026 года. Первый инструмент использовал состояние гонки при работе с виртуальным диском. Затем в августе появился второй. Он шёл к той же цели другим способом - через механизм облачной синхронизации файлов. Каждый раз Microsoft выпускала исправление. Соответственно, каждый раз автор отвечал новой версией. Все три инструмента нацелены на компонент, который производители систем защиты позиционируют как гарантию безопасности конечных устройств. Именно поэтому к третьей публикации было приковано повышенное внимание.

По данным Cyderes Howler Cell, демонстрационный код ShieldCrash не выполняет заявленную операцию. Проверка шла на Windows 11 25H2 с версией движка 1.1.26080.3. Именно эта сборка содержит исправление предыдущего обхода. Инструмент запускали против трёх защищённых областей реестра: базы локальных учётных записей, области политик безопасности и раздела раннего запуска средств защиты. Все три запуска дали файлы вывода одинакового размера. При этом исходные области заметно различаются по объёму. Одинаковый результат возможен лишь в одном случае: содержимое взято не из цели. Внутри оказалась системная библиотека Windows. Её инструмент скопировал в рабочий каталог сам, ещё до начала атаки.

Причина сбоя оказалась бытовой, а не защитной. Defender удерживал открытым собственный журнальный файл в рабочем каталоге. Инструмент пытался удалить этот файл и получил отказ из-за конфликта доступа. Повторной попытки в коде нет. В результате каталог остался непустым. Поэтому систему не удалось настроить на перенаправление. Без этого шага привилегированное чтение не наступает. Файл вывода при этом создаётся всегда. Из-за этого неудачный запуск внешне выглядит как успешный.

Автор сначала заявил о чтении произвольных файлов с правами системной службы. На следующий день он изменил формулировку и сообщил о полном повышении привилегий. Кроме того, он заявил, что база локальных учётных записей добывается легко. Наряду с этим он предложил сообществу доработать инструмент самостоятельно. В качестве подсказки он указал на код инструмента BlueHammer. Тот появился в апреле 2026 года под идентификатором CVE-2026-33825. Он вышел с ошибками, но другие авторы его починили. Двадцать третьего апреля 2026 года Агентство по кибербезопасности и защите инфраструктуры США добавило эту уязвимость в каталог эксплуатируемых. Тридцатого июня ведомство подтвердило, что её используют операторы программ-вымогателей. Два других инструмента из той же серии также подтверждены как применяемые в реальных атаках.

За публикациями стоит один автор. Он действует под сменяющимися псевдонимами: Chaotic Eclipse, INFINITE NIGHTMARE, MSNightmare, Nightmare-Eclipse. За двадцать три недели, с апреля 2026 года, он выпустил пятнадцать инструментов. Публикации размещаются сразу на нескольких площадках, включая собственные серверы. С производителем автор не согласовывает сроки и не предупреждает заранее. Мотив связывают с недовольством тем, как Microsoft ведёт программы вознаграждения за найденные уязвимости. Финансовой выгоды здесь не просматривается.

Атака проходит в несколько шагов. Злоумышленник вынуждает Defender просканировать заранее подготовленный объект облачной синхронизации. Внутри лежит безвредный тестовый образец, который антивирус обязан распознать. После обнаружения запускается процедура лечения. В этот момент инструмент подменяет служебные ссылки файловой системы. Задумка в том, чтобы системная служба прочитала чужой файл по подставленному адресу. Для запуска нужны права локального пользователя на устройстве. Удалённого доступа к машине схема не даёт.

Для служб защиты важен не отдельный инструмент, а сама тенденция. Средства защиты конечных устройств считаются базовым уровнем. Если этот уровень становится целью атаки, обнаруживать угрозу приходится другими средствами. Поэтому стоит следить за регистрацией новых облачных хранилищ на рабочих станциях. Отдельного внимания заслуживает загрузка клиентской библиотеки Defender процессами, не относящимися к самому антивирусу. Версию антивирусного движка нужно проверять отдельно от уровня обновлений Windows. Она обновляется по собственному каналу. Также помогает ограничение запуска постороннего кода на рабочих машинах.

Microsoft пока не выпустила отдельного уведомления и не дала публичных комментариев. По прошлым случаям производитель признавал проблему и присваивал идентификатор в течение нескольких дней. Опубликованный код заявленное чтение не выполняет. Вместе с тем проверка не доказала и безопасности самого механизма. Автор называет выпущенную версию черновой и обещает доработку. При частоте публикаций в пятнадцать инструментов за двадцать три недели рассчитывать на завершение этой истории не приходится.