Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Nightmare Eclipse ha scoperto una nuova vulnerabilità 0-day in Microsoft Defender chiamata RoguePlanet, che consente l'escalation dei privilegi su sistemi Windows aggiornati. L'exploit è stato confermato da analisti indipendenti e sfrutta una condizione di gara nel software antivirus. Inizialmente più pericolosa, la vulnerabilità è stata mitigata parzialmente da Microsoft, ma rimane un rischio significativo.
Secondo lo specialista, la vulnerabilità consente di ottenere privilegi a livello di SYSTEM e funziona anche su macchine completamente aggiornate con Windows 10 e Windows 11.
Ad aprile, Nightmare Eclipse ha promesso che avrebbe continuato a pubblicare exploit per le vulnerabilità 0-day dopo le patch rilasciata dagli ingegneri Microsoft e intendeva rendere ogni pubblicazione successiva “ancora più divertente”.
Il ricercatore mantiene la parola data, dal momento che le informazioni sul nuovo problema e sul relativo exploit sono state pubblicate poche ore dopo la pubblicazione del Patch Tuesday di giugno, durante il quale gli specialisti Microsoft hanno corretto diverse vulnerabilità scoperte da Nightmare Eclipse in precedenza come GreenPlasma, MiniPlasma e YellowKey.
Come spiega lo specialista nel suo blog, il problema di RoguePlanet è legato al verificarsi di una race condition in Defender. Lìexploit non è affidabile al 100% in quanto saranno necessari diversi tentativi. Se l’attacco ha successo, l’aggressore ottiene i privilegi di SYSTEM e la capacità di eseguire codice arbitrario.
Una verifica indipendente del bug è già stata effettuata dagli analisti di ThreatLocker. Hanno confermato che l’exploit Nightmare Eclipse funziona contro i sistemi Windows 11 dotati di patch all’ultimo grido e hanno pubblicato una dimostrazione dell’attacco. Anche il noto esperto di sicurezza informatica Will Dormann ha riferito di aver riprodotto con successo il problema.
Secondo Nightmare Eclipse, RoguePlanet era inizialmente un problema più pericoloso che poteva portare all’esecuzione di codice in modalità remota. Inizialmente, l’attacco ha sfruttato le peculiarità dell’elaborazione dei file su risorse SMB remote e ha permesso di forzare Defender a sovrascrivere i propri file.
“Per fare ciò, l’aggressore doveva forzare la vittima ad aprire un file .vhd(x) su un server SMB remoto. Lo sfruttamento riuscito ha comportato la sovrascrittura dei file di Defender e apparentemente il risultato finale è stata l’esecuzione di codice remoto”, scrive Nightmare Eclipse.
Tuttavia, a metà maggio, gli ingegneri Microsoft hanno silenziosamente rafforzato la sicurezza di Defender e modificato l’API mpengine!SysIO*, chiudendo uno dei meccanismi utilizzati nell’attacco.
Di conseguenza, il ricercatore ha dovuto praticamente riscrivere l’exploit da zero e RoguePlanet facendolo diventare meno pericoloso. Sottolinea che non è noto se RoguePlanet possa essere trasformato da una escalation di privilegi locali in un RCE a tutti gli effetti.
La divulgazione di informazioni su RoguePlanet e la pubblicazione dell’exploit è diventata l’ultimo episodio del lungo conflitto tra Nightmare Eclipse e Microsoft.
Ricordiamo che negli ultimi mesi il ricercatore ha divulgato exploit online per sei vulnerabilità 0-day in Windows. Parliamo di BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091), UnDefend (CVE-2026-45498), YellowKey (CVE-2026-45585), GreenPlasma (CVE-2026-45586) e MiniPlasma (CVE-2020-17103).
Alcuni di questi bug di sicurezza sono stati successivamente sfruttati attivamente dagli aggressori.
Nightmare Eclipse afferma di fare tutto questo come protesta contro il modo in cui gli specialisti del Microsoft Security Response Center (MSRC) che trattano gli specialisti della sicurezza informatica.
Secondo lui, Microsoft lo ha minacciato e ha promesso di “rovinargli la vita”, e la società ha anche ignorato le sue segnalazioni di vulnerabilità e gli ha negato l’accesso al suo account Microsoft Security Response Center (MSRC) oltre a rimuoverlo dai repository di exploit quali GitHub e GitLab. Pertanto, il ricercatore ora pubblica i suoi exploit, direttamente nella propria infrastruttura.
È uscito il sesto episodio di Betti-RHC, la serie a fumetti di Red Hot Cyber nata con l'obiettivo di trasformare la cybersecurity awareness in un'esperienza di formazione più semplice, coinvolgente e accessibile. Quello che è nato come un progetto editoriale innovativo è diventato negli anni un vero e proprio corso di cybersecurity awareness a fumetti, adottato da aziende e professionisti per sensibilizzare le persone sui rischi informatici attraverso storie, personaggi ed emozioni. In cinque anni di attività, la serie Betti-RHC ha raggiunto un risultato importante: circa 70.000 copie vendute, a testimonianza dell'interesse crescente delle organizzazioni verso nuovi strumenti per costruire una concreta cultura della sicurezza.
Il sesto episodio porta Betti dentro le nostre case, in un mondo "connesso", dove lampadine, telecamere, assistenti vocali, serrature, sensori ed elettrodomestici intelligenti promettono comfort e sicurezza, ma possono nascondere nuove e insidiose superfici di attacco. Attraverso una nuova avventura, Betti ci accompagna alla scoperta del mondo della domotica e dei dispositivi IoT, mostrando come la poca cautela nell'utilizzo di queste tecnologie possa trasformare oggetti quotidiani in porte d'accesso per chi vuole osservare, controllare o colpire.
Per accompagnare la crescita del progetto abbiamo realizzato il sito ufficiale di Betti-RHC, dove è possibile conoscere meglio la serie, gli episodi e il progetto di cybersecurity awareness sviluppato da Red Hot Cyber. L'obiettivo è continuare a portare la cultura della sicurezza fuori dai tradizionali percorsi formativi standard, utilizzando il linguaggio immediato del fumetto per parlare a dipendenti, professionisti e persone senza competenze tecniche. Per maggiori informazioni su Betti-RHC e sul sesto episodio “Open Mic” è possibile visitare il sito ufficiale: betti.redhotcyber.com.