Новый эксплойт ShieldBreak превращает Windows Defender в инструмент получения полного контроля над системой

ShieldBreak продолжает серию публичных демонстраций от группы Nightmare-Eclipse, которая ранее выпустила GreenPlasma, YellowKey, MiniPlasma, RoguePlanet, GreatXML и LegacyHive. Каждый предыдущий инструмент исследовал отдельную подсистему Windows. Например, один из них манипулировал облачным API, а другой - механизмом хранения реестра. Новый эксплойт объединяет сразу несколько техник: он использует облачную синхронизацию, внутренние механизмы переопределения путей, прямой доступ к библиотекам антивируса и планировщик заданий. В отличие от предшественников, ShieldBreak не требует для запуска вспомогательной учетной записи или дополнительных манипуляций. Достаточно двойного клика по исполняемому файлу, чтобы эксплойт выполнил все семь этапов автоматически.

Как подтвердили в LevelBlue OpsCTI, цепочка атаки полностью воспроизводится на полностью обновленных системах Windows 11 24H2 и Windows Server 2025. Для срабатывания достаточно стандартных настроек Windows Defender и запуска исполняемого файла от имени обычного пользователя. Полное получение наивысших привилегий занимает от восьми до двенадцати секунд на ненагруженной системе. Аналитики отмечают, что все проверки проводились с установленными августовскими исправлениями, поэтому наличие актуальных обновлений не защищает от данного метода.

Принцип работы построен на обмане механизма проверки файлов. Сначала эксплойт создает скрытую папку в корне диска и регистрирует её как корень облачного хранилища. Благодаря этому Windows считает файлы в этой папке не скачанными из облака, а доступными по запросу. Затем программа создает специальное представление путей, через которое антивирус будет обращаться к нужному файлу. На этом этапе возникает ситуация, когда реальный путь и видимый путь расходятся. Такая конструкция позволяет эксплойту незаметно подменять содержимое файла в процессе его обработки.

Вслед за этим эксплойт напрямую загружает компоненты Windows Defender, минуя стандартный интерфейс. Он открывает сеанс проверки, запускает сканирование подставленного облачного файла и переводит антивирус в режим очистки. В момент начала очистки программа перехватывает управление: она блокирует один из служебных файлов, замораживая операцию на доли секунды. За это время эксплойт меняет ссылку так, чтобы антивирус продолжил запись уже в системную папку Windows. В результате механизм очистки записывает туда вредоносную библиотеку, которую Windows считает собственной. Это центральная часть атаки: доверенный антивирусный движок становится инструментом доставки вредоносного кода.

Финальная стадия использует встроенный планировщик заданий Windows. Эксплойт создает специальный отчет об ошибке и помещает его в очередь системы. Затем запускается штатная задача обработки отчетов, которая выполняется с наивысшими привилегиями. Эта задача загружает подложенную библиотеку из системной папки, и она получает полный контроль над устройством. Стоит отметить, что планировщик заданий - легитимный компонент, поэтому его запуск не выглядит подозрительным. Злоумышленник не изменяет существующие системные файлы, а использует штатный механизм загрузки, что делает атаку еще более скрытной.

Обнаружить такую атаку сложно, потому что злоумышленник использует только штатные функции Windows. Традиционные антивирусные сигнатуры здесь бесполезны. Наиболее надежный признак - появление в системной папке нестандартного файла с расширением DLL, которого не было в чистой установке. В опубликованном анализе подчеркивается, что такой файл не появляется на оригинальной системе никогда, поэтому его создание должно немедленно вызывать расследование. Также стоит следить за процессами Windows Defender, которые обращаются к своим внутренним библиотекам с необычной интенсивностью, и за активностью обработчика отчетов об ошибках, загружающего новые модули.

Еще один важный сигнал - создание скрытых папок непосредственно под корнем диска, особенно с последующей регистрацией в качестве облачного хранилища. Обычные программы так не делают. Кроме того, подозрительными считаются процессы, которые создают внутренние ссылки и переопределяют пути, что не свойственно пользовательским приложениям. Совокупность таких событий даже при отсутствии известных сигнатур может указывать на атаку. Однако ни один из этих сигналов в отдельности не является достаточным. Только взаимосвязь нескольких событий в коротком промежутке времени должна рассматриваться как инцидент.

Для организаций этот метод представляет серьезную угрозу по нескольким причинам. Во-первых, атака не требует прав администратора, а значит, любой сотрудник или вредоносная программа могут использовать её для получения контроля над рабочими станциями. Во-вторых, эксплойт работает даже на полностью обновленных системах, что снижает эффективность стандартных политик управления исправлениями. В-третьих, после получения наивысших привилегий злоумышленник может отключить защитные механизмы, похитить данные и закрепиться в системе на длительное время. Для защиты рекомендуется ограничить возможность запуска произвольных исполняемых файлов, включить поведенческий анализ на конечных точках и регулярно проверять появление новых DLL-файлов в системных каталогах.

Публикация ShieldBreak подтверждает общую тенденцию в развитии угроз: атакующие все чаще комбинируют легитимные механизмы операционной системы. Каждый компонент по отдельности безобиден, но их последовательность создает опасную цепочку. Защита требует постоянного мониторинга поведения доверенных компонентов, а не только проверки файлов на вирусы. Организациям стоит использовать средства поведенческого анализа, которые отслеживают аномальные последовательности действий, и обучать сотрудников правилам безопасной работы с исполняемыми файлами.