Исследователь Nightmare Eclipse опубликовал эксплойт HardBreacher, позволяющий применять корпоративный антивирус для обхода защиты ОС. Тесты на Windows 11 25H2 с KES 14.0.0.504 показали, что обычный пользователь способен записать файл прямо в защищенную директорию System32 и получить полный контроль над созданным объектом. Разработчик продукта пока отмалчивается, вендор официально не подтвердил проблему.
Антивирусы глубоко интегрируются в систему, поэтому ошибки внутри EDR-решений обходятся крайне дорого. Автор эксплойта нашел брешь в том, как KES взаимодействует с собственным графическим интерфейсом. Если перехватить управление оболочкой, защитный механизм сбоит и пропускает несанкционированные операции с файлами. Код пока нестабилен и часто завершается ошибкой, однако расслабляться рано. Ранее исследователь уже выкладывал инструменты против Microsoft Defender, а реальные хакеры быстро брали готовые скрипты на вооружение.
Тщательно проверяйте, какие новые объекты появляются в критических системных каталогах, даже если полностью доверяете установленному EDR.