Microsoft Defender

🗓️ Contexte Source : Help Net Security, article de Zeljka Zorz publié le 17 avril 2026. L’article couvre la publication successive de trois exploits zero-day ciblant Microsoft Defender, ainsi que leur exploitation active observée dans la nature. 🔍 Les trois exploits Un chercheur anonyme opérant sous les pseudonymes Chaotic Eclipse et Nightmare Eclipse a publié trois PoC sur GitHub : BlueHammer (publié le 3 avril 2026) : vulnérabilité d’élévation de privilèges dans Microsoft Defender. Associée au CVE-2026-33825, corrigée par Microsoft le 14 avril 2026. Les chercheurs officiellement crédités pour ce CVE sont Zen Dodd et Yuanpei Xu, distincts du chercheur anonyme. RedSun (publié le 16 avril 2026) : second flaw d’élévation de privilèges dans Microsoft Defender. Son efficacité a été confirmée par le vulnerability analyst Will Dormann. UnDefend (publié le 16 avril 2026) : permet à un utilisateur standard de bloquer les mises à jour de signatures de Microsoft Defender ou de le désactiver entièrement lors d’une mise à jour majeure. Le dépôt GitHub reste accessible malgré un avertissement de la plateforme (propriété de Microsoft). ...

🔍 Contexte Publié le 22 mars 2026 sur GitHub par l’utilisateur andreisss, cet article présente KslDump, un outil de recherche en sécurité offensif exploitant un driver kernel Microsoft Defender (KslD.sys) pour extraire des credentials depuis LSASS protégé par PPL (Protected Process Light), sans recourir à aucun code ou driver tiers. ⚙️ Mécanisme de la vulnérabilité Le driver KslD.sys est livré avec Microsoft Defender, signé Microsoft, et expose un objet device \\.\KslD accessible depuis l’espace utilisateur. Il accepte l’IOCTL 0x222044 avec plusieurs sous-commandes critiques : ...

Selon un article publié par BleepingComputer, le ransomware Akira a été observé en train d’utiliser un pilote de tuning de CPU légitime d’Intel pour désactiver Microsoft Defender sur les machines ciblées. Cette technique permet aux attaquants de contourner les outils de sécurité et les solutions de détection et de réponse des endpoints (EDR). Cette exploitation implique l’utilisation d’un pilote qui, bien que légitime, est détourné pour désactiver les protections de sécurité, rendant ainsi les systèmes plus vulnérables aux attaques. Les acteurs malveillants tirent parti de cette méthode pour faciliter la propagation de leur ransomware et maximiser l’impact de leurs attaques. ...

L’article publié par Bleeping Computer met en lumière une nouvelle menace pour les utilisateurs de Windows. ‘Defendnot’, un outil récemment découvert, est capable de désactiver Microsoft Defender, le logiciel antivirus intégré de Windows. Cet outil fonctionne en enregistrant un faux produit antivirus dans le système, ce qui trompe Windows en lui faisant croire qu’un autre logiciel de sécurité est déjà actif. Cela permet à ‘Defendnot’ de neutraliser les protections offertes par Microsoft Defender, même en l’absence d’un véritable antivirus installé. ...