Un exploit de prueba de concepto (PoC) denominado BlueHammer ha sido publicado públicamente por el investigador de seguridad Nightmare Eclipse (también conocido como Chaotic Eclipse), que apunta a una vulnerabilidad de escalada de privilegios locales (LPE) de día cero en el mecanismo de actualización de firmas de Microsoft Windows Defender. La publicación, confirmada como funcional por el analista principal de vulnerabilidades Will Dormann de Tharros, subraya una creciente frustración con la Respuesta de Seguridad de Microsoft

Un exploit de prueba de concepto (PoC) llamado BlueHammer ha sido publicado públicamente por el investigador de seguridad Nightmare Eclipse (también conocido como Chaotic Eclipse), dirigido a una vulnerabilidad de escalada de privilegios local (LPE) de día cero en el mecanismo de actualización de firmas de Microsoft Windows Defender.

La publicación, confirmada como funcional por el analista principal de vulnerabilidades Will Dormann de Tharros, subraya una creciente frustración con el Microsoft Security Response Center (MSRC) y destaca un peligroso —aunque poco fiable— vector de ataque en los componentes internos de Windows.

Según el análisis técnico de Exploit Pack, BlueHammer encadena una condición de carrera TOCTOU (Time-of-Check to Time-of-Use) con confusión de rutas durante el proceso de actualización de definiciones del Antivirus de Windows Defender.

El exploit apunta específicamente a la interfaz RPC interna de Defender (IMpService) y a la llamada ServerMpUpdateEngineSignature, abusando del flujo de actualización en lugar del motor de escaneo del antivirus.

La secuencia de ataque comienza cuando la PoC espera a que una actualización legítima de definiciones de Microsoft Defender Antivirus esté disponible a través de los metadatos de Windows Update, para luego descargar el contenido de la actualización directamente desde los servidores de Microsoft.

Una vez que Defender empieza a procesar el archivo de actualización esperado mpasbase.vdm, la PoC coloca un bloqueo oportunista (oplock) en ese archivo para interceptar el acceso privilegiado de Defender en la ventana crítica de la condición de carrera.

Redirección mediante enlaces simbólicos

Cuando se activa el oplock, el exploit mueve el archivo y directorio de actualización legítimos fuera de su ubicación, recrea el directorio de actualización como un punto de reanálisis y coloca un enlace simbólico del Administrador de Objetos en \BaseNamedObjects\Restricted\mpasbase.vdm.

Este enlace simbólico redirige la operación de lectura privilegiada de Defender —que se ejecuta como NT AUTHORITY\SYSTEM— lejos del archivo de actualización esperado y hacia una ruta respaldada por VSS (Volume Shadow Copy Service) para el archivo \Windows\System32\Config\SAM, obligando a Defender a copiar la base de datos del Security Account Manager a %TEMP%.

Con la base de datos SAM filtrada, la PoC analiza el archivo con una rutina al estilo de Mimikatz, extrayendo material de hashes NTLM de cuentas locales. Si se encuentra una cuenta de administrador local utilizable, BlueHammer sobrescribe temporalmente la contraseña de esa cuenta —codificada en la PoC como la cadena irónica $PWNed666!!!WDFAIL— e inicia sesión usando LogonUserEx.

Verifica la elevación de tokens y la pertenencia al grupo de administradores, para luego intentar crear y ejecutar un servicio de Windows y lograr la ejecución completa como SYSTEM (LocalSystem), como detallan los investigadores de Exploit Pack.

El nombre del proveedor de archivos en la nube incrustado en el código aparece como IHATEMICROSOFT, dejando poca ambigüedad sobre la percepción del investigador hacia el fabricante.

A pesar de confirmar que el vector de explotación funciona, que la condición de carrera en la actualización de Defender tiene éxito y que la base de datos SAM se filtra correctamente, pruebas independientes han revelado limitaciones significativas de fiabilidad.

Todo el ataque depende estrechamente del momento de la actualización de Defender, de la disponibilidad de firmas alojadas en servidores de Microsoft y del estado de las cuentas locales. Si Microsoft modifica el paquete de actualización del lado del servidor, altera el comportamiento de actualización de Defender o parchea la ruta RPC, el exploit puede fallar silenciosamente o comportarse de manera inconsistente.

En pruebas locales, la etapa de post-explotación falló en LogonUserEx, lo que indica que la cuenta objetivo estaba deshabilitada o restringida, por lo que la escalada final a SYSTEM no se completó a pesar de una filtración exitosa de la SAM.

En plataformas Windows Server, específicamente, los investigadores descubrieron que el exploit eleva privilegios de no administrador a administrador elevado, en lugar de alcanzar SYSTEM completo.

Guía defensiva

Los equipos de seguridad deben priorizar de inmediato las siguientes mitigaciones:

• Monitorear eventos de creación de enlaces simbólicos en directorios de Windows Defender (Evento ID 4663).
• Alertar sobre la creación inesperada de puntos de reanálisis bajo C:\ProgramData\Microsoft\Windows Defender\Definition Updates.
• Vigilar el acceso a instantáneas VSS combinado con escrituras anómalas en %TEMP% que se asemejen a artefactos de la base de datos SAM.
• Implementar detección conductual para lecturas de archivos privilegiados que se resuelvan a través de enlaces simbólicos del Administrador de Objetos.
• Deshabilitar o restringir cuentas de administrador local que no sean operativamente necesarias, lo que interrumpe directamente la cadena de post-explotación.

Microsoft aún no ha emitido un parche para BlueHammer, clasificándolo como un día cero activo según sus criterios de divulgación. La publicación pública no coordinada por parte de Nightmare Eclipse sigue a lo que el investigador describió como una interacción profundamente insatisfactoria con el MSRC, continuando una preocupante tendencia en la que investigadores de vulnerabilidades evitan la divulgación responsable cuando perciben que la respuesta del fabricante es inadecuada.