微软Defender马脚被证实与勒索软件进击相干

“BlueHammer”在 4 月 2 日以一种不合平常的方法公开。一名应用 “Chaotic Eclipse” 和 “Nightmare Eclipse” 名号的研究人员，在微软尚未宣布修复补丁前就公开了相干马脚应用细节，来由是对微软处理马脚申报的方法认为不满。马脚细节的提前公开大年夜幅缩短了防御方平日拥有的预备窗口，使得潜在进击者能在补丁尚未推出的空档期敏捷测验测验兵器化。

微软于 4 月 14 日宣布补丁，称该马脚可以被已认证用户用于权限晋升，并在当月稍后更新官方安然通知布告，强调该马脚“更有可能”被应用，但当时并未证实已经出现实际进击事宜。真实情况则由第三方安然机构给出。安然公司 Huntress 申报称，进击者在补丁宣布之前就已经开端应用 BlueHammer，将其视作零日马脚展开进击。

今朝关于具体勒索软件团伙如安在进击链中应用 BlueHammer 的公开细节仍然有限。CISA 的 KEV 目次在条目状况变革时缺乏深刻解释，机构在将某马脚更新为“用于勒索软件进击”时也不会主动推送额外预警，这一信息纰谬称让部分安然专家认为防御方在制订修复策略时，仍然缺乏足够透明的谍报支撑。

BlueHammer 的特别之处不仅在于它能实现权限晋升，更在于其存在于 Microsoft Defender 这一核心安然组件之中。Defender 作为 Windows 的内置防护软件，往往以较高权限运行，安然团队依附这类高权限获取体系可见性和控制才能，但也意味着一旦 Defender 本身出现马脚，其影响面可能弘远年夜于通俗应用。一旦进击者经由过程 BlueHammer 获取更高权限，厥后续横向移动、安排勒索软件等行动将变得加倍轻易。

4 月 22 日，CISA 将 CVE-2026-33825 参加其“已知被应用马脚”（KEV）目次，标记其为正遭到积极应用的安然缺点。此后的一次更新中，CISA 明白指出该马脚已被用于勒索软件进击。不过，KEV 目次在条目更新时平日不会供给更多细节，机构也不会在将某项马脚标记为与勒索软件相干时另行宣布自力公告，这种相对“静默”的更新方法也激发部分安然从业者质疑，其对一线防御团队在马脚修复优先级划分上的本质赞助有限。

这种信息缺口部分正由私营部分的尽力来弥补。威逼谍报公司 GreyNoise 已推出一款免费对象，用于跟踪 CISA KEV 目次的更改，包含何时有马脚被标记为与勒索软件应用相干，意在赞助安然团队更及时地察觉这些关键信息变更，便于在补丁治理和风险评估中做出更快速的响应。

BlueHammer 的时光线折射出业界在处理软件马脚时经久存在的一类恶疾：在本案中，马脚应用细节先于补丁宣布，敌手在防御方拿到修复筹划前就获得了可操作的进击手册；即便补丁宣布后，关于马脚在真实进击场景中具体应用方法的信息往往滞后，迫使安然团队在缺乏完全图景的情况下做出决定计划。

对于各类组织而言，任何自 4 月微软安然更新以来尚未完成相干补丁安排的体系，至今仍可能裸露在已被证实与勒索软件进击相干的风险之下。在复杂进击场景中，进击者往往会串联多种技巧手段，一旦这类权限晋升马脚涌如今核心安然组件内部，本来渺小的入侵测验测验就可能演变成重大年夜的安然事宜。