BlueHammer, RedSun ו-UnDefend: Huntress מדווחת על ניסיונות ניצול נגד Microsoft Defender
ב-16 באפריל 2026 דיווחה Huntress שתוקפים הריצו בשטח כלים לחולשות Defender שפורסמו. BlueHammer כבר תוקנה, RedSun ו-UnDefend עדיין לא, ולפי החברה הניסיונות לא הצליחו.
TL;DR בקצרה
- Huntress דיווחה ב-16 באפריל 2026 על הרצה של BlueHammer, RedSun ו-UnDefend, שלושה כלים ל-Defender שפורסמו בפומבי.
- BlueHammer (CVE-2026-33825) תוקנה ב-14 באפריל. RedSun ו-UnDefend נשארו בלי תיקון בעת הדיווח.
- לפי Huntress, הכניסה לארגון באה מפרטי SSL VPN, ואף אחד מהניצולים לא הצליח בבירור.
- ב-19 במאי 2026 פרסמה Microsoft תיקונים ל-RedSun (CVE-2026-41091) ול-UnDefend (CVE-2026-45498).
ב-16 באפריל 2026 דיווחה Huntress שתוקפים הפעילו בשטח קוד של שלוש חולשות ב-Microsoft Defender שפורסמו בפומבי: BlueHammer, RedSun ו-UnDefend. רק BlueHammer קיבלה תיקון, ב-14 באפריל. RedSun ו-UnDefend נשארו בלי תיקון. הניתוח המלא של Huntress, מ-20 באפריל, מראה שהניסיונות לא הצליחו בבירור.
BlueHammer, RedSun ו-UnDefend: מה כל כלי עושה
חוקר בשם Nightmare Eclipse פרסם את שלושת הכלים כקוד הדגמה בתחילת אפריל. הוא מכונה גם Chaotic Eclipse. לפי BleepingComputer, הוא עשה זאת במחאה על הטיפול של Microsoft בדיווח שלו. Microsoft אמרה בתגובה שהיא מחויבת לחקור דיווחים ולתקן, ושהיא תומכת בגילוי אחראי.
BlueHammer ו-RedSun מעלות משתמש רגיל להרשאות SYSTEM, הגבוהות ב-Windows. UnDefend אינו מעלה הרשאות. הוא חוסם מ-Defender לקבל עדכוני חתימות. לפי Huntress, החסימה זמנית, והיא מסתיימת כשהכלי מפסיק לרוץ.
RedSun מנצלת את הדרך שבה Defender מטפל בקבצים עם תיוג ענן. לפי הסבר שציטט BleepingComputer, Defender מחזיר את הקובץ למקום המקורי שלו. הקוד מנצל זאת כדי לדרוס רכיב מערכת ולקבל הרשאות ניהול.
BlueHammer בשטח: מה Huntress ראתה אצל הלקוח
ב-10 באפריל Defender חסם את FunnyApp.exe, בתיקיית התמונות של משתמש. זו הייתה גרסה של BlueHammer מהמאגר הציבורי. ב-15 באפריל התחבר מישהו לחומת FortiGate דרך SSL VPN, עם פרטי ההתחברות של אותו משתמש. הכתובת שלו ממוקמת ברוסיה. אחר כך הופיעו התחברויות לאותו חשבון משני מקומות נוספים, סינגפור ושווייץ.
ב-16 באפריל הופיע RedSun.exe בתיקיית ההורדות, וגם פעילות של UnDefend. התוקף הריץ פקודות לגילוי הרשאות ופרטי גישה שמורים: whoami /priv, cmdkey /list ו-net group. הוא גם שגה בכתיבת פרמטר, מה שמעיד לדברי Huntress שלא הבין איך הכלי עובד.
הנקודה החשובה היא שההערכה של Huntress מתונה. לפי החברה, אף אחד מהכלים לא הצליח בבירור. RedSun לא דרסה את רכיב המערכת, ו-BlueHammer לא שלפה אישורים. Huntress בידדה את הארגון הנפגע כדי לעצור את המשך הפעילות.
למה BlueHammer ושאר הכלים חשובים גם בלי הצלחה
הכלים האלה לא נכנסים לארגון בעצמם. כאן הכניסה הראשונית באה מפרטי VPN של משתמש. אחרי שתוקף כבר על המחשב, הכלים מנסים להעלות הרשאות או להחליש את ההגנה.
זה מסביר למה Defender הוא יעד אטרקטיבי. כשתוקף מצליח לחסום עדכוני חתימות, הכלי שמגן על המחשב נשאר עם ידע ישן. לכן גם ניסיון כושל מצדיק חקירה מלאה ולא רק סגירת התראה.
מה קרה מאז: ב-19 במאי 2026 פרסמה Microsoft תיקונים לשתי החולשות הנוספות. CVE-2026-41091 היא RedSun, ותוקנה במנוע 1.1.26040.8. CVE-2026-45498 היא UnDefend, ותוקנה בפלטפורמה 4.18.26040.7. Microsoft סימנה את שתיהן כמנוצלות. לפי קטלוג CISA, BlueHammer נוספה אליו ב-22 באפריל, ושתי האחרות ב-20 במאי.
מה זה אומר עבורכם
- בדקו את גרסאות Defender: BlueHammer מתוקנת בפלטפורמה 4.18.26030.3011 ומעלה. את RedSun ו-UnDefend סוגרים המנוע 1.1.26040.8 והפלטפורמה 4.18.26040.7.
- חפשו קבצים חשודים: FunnyApp.exe, RedSun.exe, undef.exe ו-z.exe בתיקיות ההורדות והתמונות של משתמשים. חפשו גם את ההתראה Exploit:Win32/DfndrPEBluHmr.BZ.
- עקבו אחרי פקודות הסיור: הפקודות whoami /priv, cmdkey /list ו-net group, סמוך להרצה של הקובץ החשוד, הן סימן אזהרה.
- בדקו את ה-VPN: חשבון שמתחבר ממדינות שונות בתוך זמן קצר דורש בדיקה מיידית. הפעילו אימות רב-שלבי בחיבורי VPN.
- ראו בעדכוני חתימות שנכשלו אות: אם Defender מפסיק להתעדכן בלי סיבה, זה עשוי להיות UnDefend. בדקו את המחשב לפני שאתם מניחים שמדובר בתקלה.
מה הלאה
Huntress ממליצה להתייחס לכל סימן להרצת הכלים האלה כאירוע חירום, ולחקור לפי הקבצים והפקודות שלמעלה. אם יש לכם חומת FortiGate עם SSL VPN, כדאי לעבור על יומני ההתחברות מהשבועות האחרונים.
מקורות והרחבה
- Recently leaked Windows zero-days now exploited in attacksBleepingComputer
- Nightmare-Eclipse Tooling Moves From Public PoC to Real-World IntrusionHuntress
- Researcher drops two more Microsoft Defender zero-days, all three now exploited in the wildHelp Net Security
- Microsoft Defender Elevation of Privilege Vulnerability CVE-2026-41091Microsoft MSRC
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
