„BlueHammer“: ransomware grupės ėmė ginkluoti „Microsoft Defender“ spragą — ką daryti dabar

Kibernetinio saugumo agentūra CISA atnaujino savo „žinomų išnaudojamų spragų" (KEV) katalogą ir pažymėjo, kad „Microsoft Defender" spraga CVE-2026-33825 — plačiau žinoma kodiniu pavadinimu „BlueHammer" — jau naudojama ransomware kampanijose. Tai reiškia perėjimą nuo teorinės rizikos prie realių, pinigų reikalaujančių atakų. O kadangi „Defender" yra numatytoji apsauga praktiškai kiekvienoje verslo „Windows" mašinoje Lietuvoje, ši žinia liečia labai plačią auditoriją.

Kas yra „BlueHammer"

Formaliai tai privilegijų eskalacijos spraga: pagal „Microsoft" aprašymą, „nepakankamas prieigos kontrolės granuliavimas „Microsoft Defender" leidžia autorizuotam užpuolikui lokaliai pakelti privilegijas". Paprastais žodžiais — pati apsaugos programa gali būti apgauta taip, kad atliktų veiksmus su aukščiausiomis SYSTEM teisėmis vietoje užpuoliko.

Spraga įvertinta aukštu pavojingumu (CVSS 7.8). Svarbu suprasti niuansą: tai ne pradinės prieigos spraga. Užpuolikas pirmiausia turi jau turėti kokią nors vietą sistemoje (pvz., per sukčiavimo laišką ar pavogtus prisijungimus). Bet būtent tokia eskalacija paverčia menką įsilaužimą į visišką kompiuterio — o dažnai ir viso tinklo — perėmimą.

Kaip veikia ataka

Techniškai „BlueHammer" išnaudoja vadinamąją TOCTOU (time-of-check to time-of-use) lenktynių sąlygą „Defender" grėsmių šalinimo variklyje. Problema ta, kad valydamas aptiktą kenkėją „Defender" atlieka privilegijuotas failų operacijas, tinkamai nepatikrindamas failo kelio pačiu įrašymo momentu. Atakos grandinė atrodo taip:

1. Užpuolikas padeda failą, kurį „Defender" atpažįsta kaip kenkėją.
2. Kai „Defender" pradeda šalinimą, exploitas „užrakina" failo operaciją per vadinamąjį opportunistic lock (oplock) ir ją pristabdo.
3. Per tą pauzę NTFS jungties tašku (junction) „Defender" taikinio kelias nukreipiamas iš laikino katalogo į C:\Windows\System32.
4. Atleidus užraktą „Defender" tęsia operaciją jau su SYSTEM teisėmis ir perrašo teisėtą sisteminį vykdomąjį failą kenkėjišku turiniu.
5. Rezultatas — kodo vykdymas SYSTEM lygiu. Kai kuriuose scenarijuose taip pat pasiekiama SAM duomenų bazė su slaptažodžių maišomis.

Saugumo tyrėjai aprašė ir giminingą techniką, pavadintą „RedSun", kuri panašiu principu piktnaudžiauja „Defender" debesyje saugomų failų atkūrimo mechanizmu. Abiem atvejais esmė ta pati: pati apsaugos priemonė paverčiama įsibrovimo įrankiu.

Kodėl SYSTEM teisės — tokios vertingos ransomware operacijoms

Modernios ransomware atakos beveik niekada nebūna vieno mygtuko paspaudimas. Įprastai jos vyksta etapais: pradinė prieiga, įsitvirtinimas, privilegijų kėlimas, judėjimas tinklu ir tik pabaigoje — duomenų vagystė bei šifravimas. Kaip tik viduryje šios grandinės ir įsiterpia tokia spraga kaip „BlueHammer".

Gavęs SYSTEM lygio teises, užpuolikas nustoja būti ribojamas paprasto naudotojo. Jis gali išjungti ar apeiti apsaugas, pasiekti slaptažodžių maišas, sukurti naujas paskyras, plisti prie kitų tinklo mašinų ir galiausiai užšifruoti duomenis taip, kad atkūrimas be išpirkos taptų neįmanomas. Todėl privilegijų eskalacijos spragos, nors ir „tik" antros grandies, yra viena labiausiai paklausių prekių nusikaltėlių pasaulyje — jos atveria kelią iš vienos užkrėstos darbo stoties į viso tinklo perėmimą.

Lietuvos kontekste tai ypač aktualu mažoms ir vidutinėms įmonėms, kuriose atnaujinimų diegimas dažnai vėluoja, o dedikuotos saugumo komandos nėra. Būtent tokios organizacijos ir yra dažniausias masinių ransomware kampanijų taikinys — ne dėl to, kad būtų vertingos, o dėl to, kad yra lengvai pasiekiamos.

Kodėl tai svarbu būtent dabar

Chronologija paaiškina, kodėl žinia išplito iš naujo. Spragą 2026 m. balandį viešai atskleidė tyrėjas, pasivadinęs „Nightmare Eclipse", kartu paskelbdamas ir veikiantį proof-of-concept kodą — protestuodamas prieš tai, kaip „Microsoft" saugumo atsako centras (MSRC) tvarko pranešimus apie spragas. Saugumo bendrovė Huntress netrukus užfiksavo, kad spraga išnaudojama kaip nulinė diena (zero-day) dar prieš išleidžiant lopą.

„Microsoft" lopą išleido balandžio 14 d. per įprastą „Patch Tuesday", o CISA jau balandžio 22 d. įtraukė spragą į KEV katalogą ir įpareigojo federalines JAV agentūras ją užtaisyti iki gegužės 7 d. Naujausias posūkis — CISA papildė įrašą pažymėdama, kad spraga dabar naudojama ransomware kampanijose. Konkreti nusikaltėlių grupė kol kas nenurodyta, tačiau schema aiški: turėdami pradinę prieigą, užpuolikai naudoja tokias spragas privilegijoms pakelti, apsaugoms išjungti, judėti tinklu ir paruošti sistemas šifravimui bei turto prievartavimui.

Kitaip tariant, patchas egzistuoja jau daugiau nei du mėnesius — problema ne jo nebuvimas, o neatnaujintos mašinos. Būtent jos dabar ir yra taikinys.

Ką turi patikrinti Lietuvos įmonės

Ši istorija — geras priminimas, kad „turime „Defender", vadinasi, esame apsaugoti" nėra visa tiesa. Praktinis veiksmų sąrašas:

1. Patikrinkite atnaujinimus. Įsitikinkite, kad įdiegtas bent 2026 m. balandžio (ar naujesnis) „Patch Tuesday" saugumo atnaujinimas visose „Windows" mašinose — įskaitant serverius (Server 2016/2019/2022/2025) ir darbo stotis.
2. Atskirai atnaujinkite patį „Defender". „Microsoft Defender" platformos ir variklio versijos atsinaujina nepriklausomai nuo operacinės sistemos — verta patikrinti, ar jos naujausios, o ne pasikliauti vien OS atnaujinimais.
3. Prioritetizuokite pagal KEV. Jei dar neturite proceso, sekite CISA „žinomų išnaudojamų spragų" katalogą — jame esančios spragos jau naudojamos realiose atakose, tad joms lopyti prioritetas didžiausias.
4. Mažinkite pradinės prieigos riziką. Kadangi „BlueHammer" reikalauja jau turėto atspirties taško, kovokite su pačiu įsilaužimo pradžios tašku: sukčiavimo laiškais, silpnais ar pakartotinai naudojamais slaptažodžiais, atviru RDP, daugiapakopės autentifikacijos nebuvimu.
5. Stebėkite anomalijas. EDR ir žurnaluose atkreipkite dėmesį į įtartiną NTFS junction kūrimą ar failų operacijų manipuliacijas, susijusias su apsaugos procesais.

Bendra išvada paprasta ir nemaloni: net pačios apsaugos priemonės būna spragų šaltiniu, o vėluojantis lopymas kainuoja brangiausiai. Kai spraga pereina iš tyrėjų pranešimo į ransomware nusikaltėlių arsenalą, laikas skaičiuojamas ne mėnesiais, o dienomis — todėl svarbiausias sprendimas šiandien yra pats banaliausias: patikrinti, ar atnaujinimai iš tiesų įdiegti visur.