BlueHammer is een achtstaps lokale privilege-escalatie die Windows Defender Antimalware Platform voor versie 4.18.26030.3011 raakt en leidt tot domeinbeheerderstoegang.
BlueHammer (CVE-2026-33825) is een complexe keten van acht stappen die lokale privilege-escalatie mogelijk maakt binnen het Windows Defender Antimalware Platform versies ouder dan 4.18.26030.3011. De kwetsbaarheid biedt geen initiële toegang; een aanvaller moet eerst code kunnen uitvoeren met standaardgebruikersrechten. In laboratoriumtests lukte het echter om via deze keten NT AUTHORITY\SYSTEM te bereiken, domeinbeheerderreferenties uit LSASS te bemachtigen en lateraal te bewegen met pass-the-hash.
De exploit maakt geen gebruik van geheugenbeschadiging, maar schakelt verschillende componenten aan elkaar, waaronder CloudFilter-callbacks, batch-oplocks, object-manager symbolische links, de update RPC-interface van Defender, offline SAM-parsing en SAMR-operaties. Cruciaal is dat een systeem wel kwetsbaar kan zijn, maar niet per definitie exploiteerbaar, omdat factoren zoals een wachtende handtekeningupdate, de status van WinDefend, filterdrivers, VSS en CloudFilter-bereikbaarheid bepalen of de aanval op een specifiek systeem slaagt. Dit verklaart waarom versiebased scanning onvoldoende is om exploitatie te voorspellen.
De onderzoekers van Qualys hebben met hun TruConfirm-technologie een methode ontwikkeld die een host pas als Exploit Validated markeert nadat omgevingscontroles zijn uitgevoerd en een niet-destructieve BAS-validatie van de CloudFilter-freeze (stages 2–3) heeft plaatsgevonden. Hierbij wordt geen SAM-extractie, wachtwoordreset, servicecreatie of SYSTEM-shell uitgevoerd.
Windows Defender draait continu met hoge privileges en omvat filterdrivers, RPC-interfaces, een scan-engine en update-mechanismen die allemaal met SYSTEM-machtigingen opereren. BlueHammer maakt hier misbruik van door deze componenten in een keten te combineren. In het laboratorium werd de exploit uitgevoerd op versie 4.18.2104.10 van Defender. Na het verkrijgen van SYSTEM-toegang werden domeinbeheerderreferenties uit LSASS gehaald en met pass-the-hash toegang verkregen tot de domeincontroller als CITRIX\administrator. Hiermee konden beveiligde systeemlocaties worden benaderd, services gestart en NTDS.dit geëxtraheerd worden, wat leidde tot volledige domeincompromittering.
De volledige aanvalsketen verloopt via initiële toegang, uitvoering van BlueHammer, lokale SYSTEM-toegang, LSASS-credential toegang, pass-the-hash authenticatie, toegang tot de domeincontroller als domeinbeheerder en uiteindelijk domeincompromittering. Verdere acties na deze compromittering zijn in het laboratorium niet uitgevoerd.
De analyse is gebaseerd op reverse-engineering van de originele FunnyApp.exe-binary met IDA Pro en tracing in x64dbg. De bevindingen onderstrepen het belang van omgevingsafhankelijke validatie van kwetsbaarheden en tonen aan dat alleen versienummers onvoldoende zijn om exploitatie te voorspellen. Meer details over deze kwetsbaarheid zijn te vinden in de CVE-2026-33825 en de Microsoft Security Update Guide.
