Le PoC publié par Nightmare Eclipse, qui est en conflit avec Microsoft depuis des mois, accorde à un attaquant des privilèges au niveau du système une fois qu’il obtient un accès.
Quelques semaines seulement après que Microsoft ait corrigé une faille critique dans Microsoft Defender, un chercheur en cybersécurité a publié une solution de contournement apparente qui fournit un contrôle au niveau du système aux attaquants une fois qu’ils obtiennent un niveau d’accès.
Le chercheur, qui s’appelle Nightmare Eclipse, est engagé dans une bataille de longue date avec Microsoft Security.
Au moment de la publication, ni Microsoft ni Nightmare Eclipse n’ont fourni les détails supplémentaires que nous avions demandés.
Mais la solution de sécurité de preuve de concept (PoC), ShieldBreak, décrite par Nightmare Eclipse dans une série de publications publiques, menace potentiellement d’être plus dommageable que les solutions de contournement précédentes.
Comme d’autres vulnérabilités récemment signalées, ShieldBreak nécessite qu’un attaquant accède d’abord au système, généralement via une escroquerie de phishing réussie. Cependant, une fois entré, l’attaquant peut obtenir un accès administrateur/root complet.
Mais ShieldBreak comporte une composante psychologique troublante, dans la mesure où il s’agit d’une solution de contournement pour un correctif de sécurité récemment publié par Microsoft, a noté Justin Greis, PDG de la société de conseil Acceligence. Le problème est que les RSSI qui ont déjà déployé ce correctif peuvent se sentir protégés alors qu’ils ne le sont pas.
« Celui-ci est préoccupant car le contournement des correctifs remet directement en question l’intégrité de la correction », a-t-il déclaré. « ShieldBreak semble démontrer qu’un attaquant peut contourner le correctif fourni par Microsoft pour CVE-2026-50656 et finalement obtenir des privilèges au niveau du système sur le point final. Il s’agit d’une distinction importante pour les défenseurs des entreprises, car les organisations peuvent croire qu’elles ont déjà corrigé la vulnérabilité sous-jacente. Un contournement réussi du correctif signifie que l’exposition peut persister même après que le processus normal de gestion des vulnérabilités ait déclaré que le système est protégé. «
Greis a ajouté que de telles solutions de contournement peuvent réduire la confiance globale dans les correctifs officiels.
« Lorsque le code de preuve de concept public peut le contourner, la question du RSSI devient : « avons-nous réellement supprimé l’exposition ? » plutôt que simplement « avons-nous déployé le correctif ? » », a-t-il déclaré. « Du point de vue de l’architecture, les organisations doivent faire très attention à ce qu’un même produit de sécurité ne devienne à la fois le contrôle sur lequel on s’appuie et la seule source de preuve de son fonctionnement. »
Flavio Villanustre, RSSI du groupe LexisNexis Risk Solutions, s’est dit particulièrement préoccupé par le moment choisi pour la publication du PoC, étant donné qu’il semblait destiné à exercer la plus grande pression sur Microsoft, compte tenu du calendrier habituel pour les correctifs de sécurité.
« Cette vulnérabilité, si elle est valide, nécessiterait un correctif de la part de Microsoft, mais comme ces correctifs ne sont généralement publiés que le deuxième mardi du mois et que le chercheur en sécurité semble avoir soigneusement programmé la publication du PoC, nous pourrions avoir cette exposition pendant encore 4 semaines à moins que Microsoft ne considère qu’il s’agit d’un risque de très haute gravité, ce qui est peu probable », a-t-il souligné.
Le consultant en cybersécurité Brian Levine, directeur exécutif de FormerGov, a convenu que les RSSI ne devraient pas sous-estimer les dommages potentiels si cette PoC s’avère valide.
« Ce qui le rend dangereux, c’est ce qu’il fait une fois qu’ils y sont : il transforme un compte ordinaire à faible privilège en contrôle total du système en abusant de Defender lui-même, l’outil de sécurité fonctionnant avec le privilège le plus élevé sur la boîte », a-t-il déclaré. « Un exploit qui réside dans votre antivirus est silencieux, il est fiable et il peut être utilisé pour aveugler ou désactiver exactement ce sur quoi vous comptez pour attraper l’intrus. Ce n’est pas un ver, mais c’est une deuxième étape presque idéale pour les équipes de ransomwares et toute personne effectuant une intrusion manuelle. »
Levine a suggéré que les RSSI n’attendent pas un correctif de Microsoft, mais adoptent immédiatement une position défensive agressive.
« Supposons qu’il s’agisse d’une défense en direct et en profondeur, car c’est exactement le scénario dans lequel traiter Defender comme votre seule ligne échoue. La liste blanche des applications, telles que WDAC ou AppLocker en mode forcé, est le renforcement le plus puissant disponible et peut arrêter la charge utile même si la course réussit », a déclaré Levine.
« Renforcez les droits d’administrateur local et les moindres privilèges afin que votre point d’ancrage ait moins de raisons de remonter. Et donnez à vos chasseurs une chose très spécifique à surveiller : un shell interactif ou un hôte de script fonctionnant en tant que système dont le processus parent est le moteur de Defender, MsMpEng.exe. Cela ne devrait jamais se produire dans un environnement sain et c’est un signe haute fidélité que quelqu’un exécute cela. «
Mais il a également suggéré que les RSSI ne supposent pas que le PoC fonctionne nécessairement comme annoncé.
« Il s’agit d’une preuve de concept émanant d’un seul chercheur. Elle n’a pas été vérifiée de manière indépendante et elle vient de quelqu’un qui se trouve au milieu d’un combat très public et très amer avec Microsoft, donc peut-être qu’une partie du théâtre autour de cela devrait être ignorée », a déclaré Levine. « Mais vous ne pouvez pas non plus l’écarter. Les contournements de correctifs sont extrêmement courants, et l’affirmation selon laquelle le correctif de Microsoft pour RoguePlanet n’a pas complètement fermé la porte est tout à fait plausible. Les défenseurs devraient le considérer comme crédible jusqu’à preuve du contraire, et non l’inverse. »
Même si Levine et d’autres analystes étaient initialement dubitatifs, certains éléments indiquent désormais que l’efficacité de la PoC a été vérifiée de manière indépendante.
Le conseiller en cybersécurité et risques Steven Eric Fisher, ancien spécialiste des risques de cybersécurité chez Walmart, a déclaré : « J’ai vu une confirmation indépendante que ShieldBreak fonctionne, bien que sa méthode d’exploitation diffère sensiblement de l’exploit RoguePlanet original. RoguePlanet s’est appuyé sur une condition de concurrence critique du système de fichiers, tandis que ShieldBreak semble utiliser un chemin API Defender/Cloud Filter différent », a déclaré Fisher. « Ainsi, bien qu’il soit caractérisé comme un contournement du correctif CVE-2026-50656 de Microsoft, il ne s’agit pas simplement d’une répétition de l’exploit original. »
Il a ajouté que le chercheur en cybersécurité Kevin Beaumont a déjà publié les détections Microsoft Defender Advanced Hunting pour ShieldBreak que les organisations peuvent intégrer dans la surveillance tout en évaluant leur exposition.
