RedSun : le zero-day Defender sans patch donne SYSTEM

Ce qui s'est passé

RedSun constitue la deuxième d'une série de trois vulnérabilités zero-day dévoilées le 16 avril 2026 par un chercheur indépendant, qui a publié l'intégralité des détails techniques sans coordination préalable avec Microsoft. Regroupées sous les noms BlueHammer, RedSun et UnDefend, ces failles visent la logique interne de Microsoft Defender, l'antivirus activé par défaut sur toutes les versions supportées de Windows 10 et Windows 11. Le RedSun Defender zero-day se distingue par sa gravité : il permet à un attaquant disposant d'un accès local d'obtenir les privilèges SYSTEM, le niveau le plus élevé du système d'exploitation, en s'appuyant sur un défaut de conception interne du moteur de l'antivirus. À ce jour, aucun correctif n'a été publié par Microsoft, ce qui laisse les postes de travail et les serveurs Windows exposés à une escalade de privilèges complète.

Techniquement, RedSun repose sur une erreur logique dans la gestion par Defender des fichiers marqués "cloud tag". Au lieu de mettre en quarantaine ou de supprimer un fichier détecté comme malveillant, Defender peut le réécrire ou le restaurer à son emplacement d'origine avec les privilèges du service, qui s'exécute en NT AUTHORITY\SYSTEM. L'exploitation combine des jonctions NTFS (reparse points), des verrous opportunistes (oplocks) et des appels à la Cloud Files API pour détourner l'opération d'écriture privilégiée et écraser des fichiers système protégés. Le résultat est une élévation directe vers SYSTEM sans interaction utilisateur, sans compromission réseau préalable, et sans déclencher d'alerte EDR sur la plupart des postes.

Qualys, Blackswan Cybersecurity et Picus ont chacun publié des analyses détaillées confirmant la faisabilité de l'exploit. Un proof-of-concept fonctionnel circule sur GitHub et plusieurs forums de recherche depuis le 17 avril. Les acteurs observés en exploitation chaînent BlueHammer ou RedSun pour obtenir SYSTEM, puis déploient UnDefend pour dégrader progressivement la capacité de détection et de mise à jour de Defender sur la cible, ouvrant une fenêtre d'action prolongée.

Pourquoi c'est important

RedSun transforme l'antivirus en vecteur d'attaque : le composant censé bloquer les menaces devient le mécanisme d'escalade de privilèges. Pour les parcs Windows, la surface d'attaque potentielle est massive — Defender est activé par défaut sur plusieurs centaines de millions de postes dans le monde. Les organisations qui s'appuient uniquement sur Defender comme couche de protection EDR doivent admettre que cette couche est, pour l'heure, contournable : un attaquant disposant déjà d'un accès utilisateur standard peut basculer à SYSTEM en quelques minutes, sans déclencher les détections habituelles de la plateforme Microsoft.

L'exploitation chaînée avec BlueHammer et UnDefend ajoute une dimension de persistance critique : après élévation, l'adversaire neutralise progressivement les mises à jour de Defender, ce qui prolonge la fenêtre d'exposition et complique le nettoyage post-incident. Couplée à l'entrée de BlueHammer au catalogue KEV et à la généralisation du Security Copilot dans M365 E5 — lequel s'appuie sur la télémétrie Defender —, la dépendance au stack Microsoft devient un point de défaillance critique pour les SOC qui n'ont pas prévu de défense en profondeur. Cette concentration de risque fait écho aux alertes récentes sur les patches ASP.NET Core en urgence et à la posture faible des outils d'admin modernes face aux chaînes d'attaque.

Ce qu'il faut retenir

• Sans patch disponible, la seule mitigation réaliste consiste à durcir la configuration Defender : désactivation temporaire de la restauration automatique des fichiers taggés cloud, monitoring des créations de jonctions NTFS par le processus MsMpEng.exe, et journalisation des appels à la Cloud Files API.
• Déployer une seconde couche EDR non Microsoft sur les postes sensibles (administrateurs, contrôleurs de domaine, bastions, postes développeurs) reste la parade la plus robuste face à une chaîne d'exploitation qui vise spécifiquement Defender.
• Surveiller les signatures publiées par Qualys et les IOC diffusés par la communauté : les premières détections comportementales pour RedSun apparaissent dans les règles Sigma publiques depuis le 18 avril 2026.