Cuando los Defensores Atacan: Cómo los Hackers Están Armando la Seguridad de Windows

Imagina que tu mejor guardaespaldas de repente se vuelve contra ti - usando tus propias llaves y códigos de alarma en tu contra. Eso es exactamente lo que les está ocurriendo a las organizaciones que dependen de Microsoft Defender, ya que los ciberdelincuentes han descubierto formas de convertir esta plataforma de seguridad ampliamente confiable en una potente herramienta de ataque. Con un trío de nuevas explotaciones circulando en línea, incluso atacantes con habilidades moderadas pueden secuestrar las operaciones privilegiadas de Defender para obtener acceso SYSTEM o deshabilitar silenciosamente las defensas de los endpoints - muchas veces con poco más que un movimiento astuto de archivos.

La saga comenzó cuando un investigador de seguridad conocido como Nightmare-Eclipse publicó código de prueba de concepto (PoC) para tres vulnerabilidades distintas, frustrado por lo que alegaba era una respuesta poco entusiasta de Microsoft ante la divulgación privada. La más notoria de ellas, BlueHammer, apuntaba a una falla (CVE-2026-33825) en el proceso de actualización de firmas de Defender. Aprovechando una condición de carrera, los atacantes pueden redirigir la remediación de archivos de Defender a ubicaciones de su elección - otorgándose privilegios de SYSTEM sin necesidad de vulnerar el kernel o explotar la memoria.

Microsoft lanzó rápidamente un parche para BlueHammer en su actualización de seguridad de abril, pero los otros dos PoC - RedSun y UnDefend - siguen siendo amenazas activas. RedSun aprovecha una condición de carrera similar, esta vez en Defender’s TieringEngineService.exe, un proceso responsable de clasificar archivos sospechosos. Al atraer a Defender con una cadena de prueba EICAR común, los atacantes engañan al sistema para que ejecute código malicioso como SYSTEM. UnDefend, por su parte, es el equipo de limpieza: después de obtener acceso SYSTEM, los atacantes usan UnDefend para privar silenciosamente a Defender de actualizaciones, degradando su detección de amenazas con el tiempo mientras presentan una falsa sensación de seguridad a los administradores.

Empresas de seguridad como Huntress Labs y Vectra.ai han observado estas explotaciones en ataques dirigidos, con adversarios colocando manualmente binarios en carpetas poco llamativas como Imágenes y Descargas, a menudo bajo nombres anodinos o ligeramente ofuscados. El nivel técnico requerido es sorprendentemente bajo; el verdadero reto para los atacantes es simplemente obtener acceso inicial - frecuentemente mediante credenciales VPN robadas con autenticación multifactor débil o inexistente.

Los expertos advierten que estos ataques exponen problemas sistémicos más profundos en los límites de confianza y flujos de trabajo privilegiados de Defender. “Cuando los atacantes manipulan sus propios flujos de trabajo privilegiados, se convierte en un mecanismo de entrega,” dice Justin Howe de Vectra. ¿El problema central? Defender, en su afán de proteger, a menudo confía demasiado en sus propios procesos - sin validar rutas de archivos y operaciones críticas en el momento de la ejecución.

La lección para los defensores es clara: parchear con prontitud, aplicar autenticación multifactor en todas partes y monitorear la actividad sospechosa en directorios editables por el usuario. A medida que los atacantes convierten nuestras mejores defensas en armas en nuestra contra, la línea entre protector y depredador se vuelve peligrosamente delgada.

WIKICROOK

• Prueba: Una Prueba de Concepto (PoC) es una demostración que muestra que una vulnerabilidad de ciberseguridad puede ser explotada, ayudando a validar y evaluar riesgos reales.
• SYSTEM: Un sistema es un conjunto de hardware, software y redes que trabajan juntos. En ciberseguridad, proteger los sistemas previene accesos no autorizados y filtraciones de datos.
• Condición de Carrera: Una condición de carrera es un error donde acciones simultáneas de múltiples procesos causan errores impredecibles o vulnerabilidades en sistemas de software.
• Remediación: Remediación significa tomar medidas para corregir o contener amenazas de seguridad, como eliminar malware o bloquear usuarios no autorizados, para restaurar la seguridad del sistema.
• Autenticación Multifactor (MFA): La Autenticación Multifactor (MFA) es un método de seguridad que requiere que los usuarios proporcionen dos o más pruebas de identidad antes de acceder a una cuenta.