BlueHammer : Analyse zero-day Windows Defender 2026

Les faits

Le 3 avril 2026, un chercheur en sécurité opérant sous le pseudonyme Nightmare-Eclipse a publié sur GitHub un exploit fonctionnel baptisé BlueHammer. Ce proof-of-concept cible une vulnérabilité critique affectant le mécanisme de mise à jour des signatures de Windows Defender Antivirus, composant pourtant présent par défaut sur l'ensemble du parc Windows en entreprise. Le BlueHammer Windows Defender zero-day permettrait à un attaquant disposant d'un accès local de neutraliser la protection en temps réel avant de déployer sa charge utile, réduisant à néant la principale ligne de défense de nombreuses organisations. Aucun identifiant CVE n'a encore été attribué par Microsoft à cette faille, malgré la publication du code d'exploitation et sa diffusion rapide au sein des communautés offensives. Cette analyse détaille le fonctionnement technique de l'exploit, son périmètre d'impact réel et les mesures de mitigation applicables sans attendre le correctif officiel.

Techniquement, BlueHammer exploite une condition de course TOCTOU (Time-of-Check to Time-of-Use) combinée à une confusion de chemin dans le processus de mise à jour des définitions de Defender. L'exploit cible spécifiquement l'interface RPC interne IMpService et l'appel ServerMpUpdateEngineSignature, détournant le flux de mise à jour plutôt que le moteur d'analyse lui-même. Le résultat permet d'accéder à la base SAM (Security Account Manager) contenant les hashes NTLM des comptes locaux.

D'après les analyses publiées par des chercheurs indépendants, l'exploit parvient à écraser temporairement le mot de passe d'un compte administrateur local, à s'authentifier via LogonUserEx, puis à créer et démarrer un service Windows pour atteindre une exécution SYSTEM complète. Sur Windows Server, l'élévation se limite à un privilège administrateur élevé sans atteindre SYSTEM.

Impact et exposition

Toute machine Windows exécutant Windows Defender avec les mises à jour de signatures actives est potentiellement vulnérable. Cela inclut les postes de travail Windows 10 et 11, ainsi que les serveurs Windows Server 2016, 2019, 2022 et 2025. La surface d'attaque est massive puisque Defender est activé par défaut sur toutes les installations Windows modernes. L'exploitation nécessite un accès local à la machine, ce qui limite le vecteur d'attaque initial mais rend la faille particulièrement dangereuse dans les scénarios de post-exploitation et de mouvement latéral.

L'exploit n'est pas fiable à 100 % selon son auteur, mais fonctionne suffisamment bien pour constituer une menace crédible. La publication du code source complet sur GitHub rend cette vulnérabilité accessible à un large éventail d'attaquants, y compris des groupes moins sophistiqués. Plusieurs équipes de threat intelligence ont confirmé des tentatives d'intégration de BlueHammer dans des frameworks d'attaque existants depuis sa publication.

Recommandations immédiates

• Surveiller les accès anormaux au fichier SAM et les créations suspectes de services Windows via les journaux d'événements (Event ID 7045)
• Restreindre les privilèges locaux et appliquer le principe du moindre privilège sur tous les postes et serveurs
• Déployer les règles Sigma et YARA publiées par la communauté (référentiel BlueHammerFix sur GitHub) pour détecter les tentatives d'exploitation
• Activer la protection renforcée contre les falsifications (Tamper Protection) dans Windows Security Center
• Monitorer les appels RPC vers l'interface IMpService via les solutions EDR déployées
• Appliquer le patch Microsoft dès sa publication — aucun correctif officiel n'est disponible à ce jour

Détails techniques de l'exploitation

L'analyse du code publié sur GitHub révèle que BlueHammer cible précisément la fenêtre de synchronisation entre le service WinDefend et le moteur MsMpEng.exe lors du téléchargement des mises à jour incrémentielles de signatures (généralement toutes les heures via Windows Update ou le endpoint MAPS). La condition TOCTOU exploite le délai entre la vérification de la signature Authenticode du paquet de définitions et son chargement effectif par le service, permettant à un attaquant disposant d'un accès local non privilégié de substituer un fichier malveillant dans le répertoire temporaire %ProgramData%\Microsoft\Windows Defender\Definition Updates. Le détournement de l'appel RPC ServerMpUpdateEngineSignature déclenche ensuite une réécriture temporaire du hash NTLM stocké dans la base SAM, sans passer par les API standard de gestion des comptes — ce qui explique l'absence de détection par les journaux d'événements classiques (Event ID 4738/4724).

Détection et indicateurs de compromission

Les équipes SOC peuvent surveiller trois signaux faibles : des appels RPC anormaux vers l'interface IMpService en dehors des cycles de mise à jour planifiés, des écritures concurrentes sur la ruche registre SAM corrélées à un processus MsMpEng.exe, et la création de services Windows immédiatement suivie d'un arrêt du processus parent Defender. Sysmon (règle EventID 1 + 13) configuré avec un filtre sur ImageLoad de mpsvc.dll combiné à une modification registre sous HKLM\SAM constitue l'indicateur le plus fiable en l'absence de signature EDR dédiée. Plusieurs éditeurs EDR (CrowdStrike, SentinelOne, Microsoft Defender for Endpoint) ont publié des règles de détection comportementale en urgence dans les 48 heures suivant la divulgation publique.

Mitigations en attendant le correctif

En l'absence de patch officiel, Microsoft recommande de restreindre les permissions d'écriture sur le répertoire de définitions via une stratégie de groupe dédiée, et de désactiver temporairement la mise à jour automatique des signatures au profit d'un déploiement manuel signé et vérifié côté serveur WSUS. L'activation de la protection LSA supplémentaire (RunAsPPL) et du Credential Guard limite significativement l'exploitabilité de la fuite SAM, sans toutefois neutraliser le vecteur RPC initial. Ce précédent rappelle l'exploit EternalBlue de 2017 dans sa mécanique de divulgation contestée, bien que la portée ici reste limitée à une élévation de privilèges locale sans propagation réseau autonome.