🪟 Windows: RoguePlanet без патча + July 14 Patch Tuesday через неделю. Готовимся.

Коллеги, июнь оставил нам незакрытый хвост — и следующая неделя обещает быть жаркой.

Ситуация: RoguePlanet (CVE-2026-50656) — эксплойт Nightmare Eclipse против Microsoft Defender, позволяющий локальному атакующему получить SYSTEM-привилегии на полностью пропатченных Windows 10 и 11. Microsoft подтвердила уязвимость и работает над патчем, но сроков не назвала.

Эксплойт начинается с записи EICAR-файла в фейковый wermgr.exe для триггера ремедиации Defender. Отслеживая новое HardDiskVolumeShadowCopy-устройство, атакующий использует опортунистическую блокировку и выигрывает race condition. В результате C:\Windows\System32\wermgr.exe заменяется копией RoguePlanet, который затем запускается с SYSTEM-привилегиями через задачу QueueReporting.

Что особенно неприятно: до публикации RoguePlanet исследователь анонсировал крупное раскрытие на 14 июля 2026 — дату следующего Patch Tuesday — предупредив что релиз "сломает кости в тот день".

Что делать до 14 июля:

# 1. Проверяем что все июньские патчи установлены:
Get-HotFix | Where-Object {$_.InstalledOn -ge "2026-06-08"} |
    Select-Object HotFixID, InstalledOn |
    Sort-Object InstalledOn -Descending | Select-Object -First 5

# 2. RoguePlanet — mitigation через Application Control:
# ThreatLocker и аналоги блокируют эксплойт через allowlisting.
# Для тех кто без application control — мониторинг:

# Ищем подозрительное создание VSS-снапшотов:
Get-WinEvent -LogName "Microsoft-Windows-VolumeSnapshot-Driver/Operational" |
    Where-Object {$_.TimeCreated -gt (Get-Date).AddDays(-7)} |
    Select-Object TimeCreated, Message | Format-List

# Мониторим запуск wermgr.exe с необычным parent-процессом:
Get-WinEvent -LogName Security |
    Where-Object {$_.Id -eq 4688} |
    Where-Object {$_.Message -like "*wermgr.exe*"} |
    Select-Object TimeCreated, Message | Format-List | Select-Object -First 5

# 3. Проверяем Defender Engine (отдельно обновляется):
Get-MpComputerStatus | Select-Object AMEngineVersion
# Нужна >= 1.1.26040.8 (фикс RedSun/CVE-2026-41091)
# Принудительное обновление:
Update-MpSignature

# 4. Готовимся к July 14 Patch Tuesday:
# Nightmare Eclipse обещает новые раскрытия
# Держим снапшоты DC перед Patch Tuesday
# Проверяем что тестовое окружение готово к быстрому тестированию

Три более ранних эксплойта Nightmare Eclipse — BlueHammer, RedSun и UnDefend — уже были использованы в реальных атаках и добавлены в CISA KEV до выхода патчей. Это означает что июльский пакет будет горячим.

Итог: 14 июля — в календарь. Держи снапшоты DC, Application Control где возможно, мониторинг VSS и wermgr.exe прямо сейчас.

#windows #defender #rogueplanet #patchtuesday #security #sysadmin #admin_future

🪟 Windows: RoguePlanet без патча + "bone shattering drop" 14 июля. Что делать сейчас.

Коллеги, неделя перед следующим Patch Tuesday — самый острый момент в истории с Nightmare Eclipse.

Nightmare Eclipse публично анонсировал крупное раскрытие на 14 июля 2026 — дату следующего Patch Tuesday Microsoft — предупредив что релиз "переломает кости в тот день". Изнурительная переработка RoguePlanet привела к признанию что июльский пакет может оказаться не таким масштабным как планировалось. Тем не менее дата 14 июля официально не отменена, и команды безопасности должны рассматривать её как активный горизонт угрозы.

Что актуально прямо сейчас:

RoguePlanet (CVE-2026-50656) — race condition в Defender, даёт SYSTEM-шелл на полностью пропатченных Windows 10 и 11. Microsoft не указала когда ожидается патч. Исследователь отметил что "не видел ни одной попытки детектирования или блокировки PoC через сигнатуры которая была бы эффективной — небольшие изменения в PoC полностью обходят mitigation-ы. Единственное что можно реально сделать — ждать патча от Microsoft."

Также существует GreatXML — восьмой эксплойт серии, машины уязвимы если ранее запускали Defender Offline Scan или могут загрузиться в WinRE в Offline Scan State.

# 1. Проверяем статус июньских патчей:
Get-HotFix | Where-Object {$_.HotFixID -in @("KB5094126","KB5094127")} |
    Select-Object HotFixID, InstalledOn
# KB5094126 = Windows 11, KB5094127 = Windows 10 LTSC/ESU

# 2. Обновляем Defender Engine (может прийти до PT):
Update-MpSignature -UpdateSource MicrosoftUpdateServer
Get-MpComputerStatus | Select-Object AMEngineVersion
# Следим за обновлениями выше 1.1.26060.x

# 3. Единственная реальная защита от RoguePlanet — Application Control:
# Проверяем статус WDAC:
Get-CIPolicy -FilePath "$env:windir\System32\CodeIntegrity\SIPolicy.p7b"

# Или через Intune: Endpoint Security -> App Control for Business
# ThreatLocker, AppLocker в deny-by-default режиме также блокируют

# 4. Мониторинг поведенческих индикаторов RoguePlanet:
# Ищем необычное создание VSS shadow copies + wermgr.exe:
Get-WinEvent -LogName System |
    Where-Object {$_.Id -eq 8194 -and  # VSS событие
        $_.TimeCreated -gt (Get-Date).AddDays(-1)} |
    Select-Object TimeCreated, Message | Format-List

# 5. Готовимся к 14 июля:
# Снапшот DC перед Patch Tuesday (как всегда)
# Тестовое окружение готово к быстрому развёртыванию
# Incident response team уведомлена о возможном hot-disclosure

Среднее время от эксплойта до использования в атаках составляло пять дней в 2026 году — работающий proof-of-concept опубликован публично, и этот таймлайн начался не когда присвоили CVE или выпустили патч, а в момент публикации.

Итог: 14 июля — следующая Patch Tuesday и возможный день новых раскрытий. До него — Application Control, обновлённый Defender, мониторинг VSS/wermgr. После — патчить в тот же день.

#windows #defender #rogueplanet #nightmare_eclipse #patchtuesday #sysadmin #admin_future