🪟 Windows: CVE-2026-32202 — APT28 крадёт NTLMv2-хэши через LNK-файл без клика

Коллеги, срочная новость которую Microsoft тихо пропустила в апрельском Patch Tuesday без пометки «эксплуатируется» — и только 27 апреля признала ошибку. Разбираем.

CVE-2026-32202 — уязвимость в Windows Shell, позволяющая атакующему коерцировать NTLM-аутентификацию от любого пользователя, который открывает папку с вредоносным LNK-файлом. Взаимодействие пользователя не требуется — достаточно открыть папку в Проводнике.

Уязвимость возникла из-за неполного патча для CVE-2026-21510, которую APT28 (Fancy Bear) активно эксплуатировал с декабря 2025 года в кампаниях против Украины и стран ЕС. Февральский патч остановил RCE, но оставил открытым вектор кражи NTLM-хэша.

Механика: LNK-файл содержит UNC-путь вида \\attacker.com\share\payload.cpl. Когда Explorer рендерит папку — инициируется SMB-соединение, Windows автоматически отправляет Net-NTLMv2 хэш атакующему. Хэш используется для NTLM relay атаки или офлайн-брутфорса.

# ШАГ 1: Проверяем установлен ли апрельский патч KB5082063
Get-HotFix | Where-Object {$_.HotFixID -eq "KB5082063"} |
    Select-Object HotFixID, InstalledOn

# Если не установлен — ставим KB5082063 (содержит фикс CVE-2026-32202)
# ВНИМАНИЕ: у KB5082063 есть проблемы с DC в PAM-средах
# Сначала проверить IsGlobalCatalog и установить KB5091157 (OOB-фикс)

# ШАГ 2: НЕМЕДЛЕННЫЙ МИТИГЕЙШН — блокируем исходящий SMB
# На периметровом файрволе — блокируем TCP/445 и TCP/139 наружу
netsh advfirewall firewall add rule `
    name="Block Outbound SMB CVE-2026-32202" `
    dir=out action=block `
    protocol=TCP localport=445,139

# ШАГ 3: Принудительно переходим на Kerberos, отключаем NTLM
# (долгосрочное решение, требует тестирования)
# GPO: Computer Config -> Security Settings -> Security Options
# -> Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers
# -> Значение: Deny all

# ШАГ 4: Мониторим попытки NTLM аутентификации наружу
Get-WinEvent -LogName Security |
    Where-Object {$_.Id -eq 4648} |  # Explicit credential use
    Select-Object TimeCreated, Message |
    Format-List | Select-Object -First 10

# ШАГ 5: CISA deadline для FCEB — 12 мая 2026
# Для всех остальных — treat as emergency patch

Зачем это важно: Microsoft опубликовала фикс 14 апреля без пометки об эксплуатации. CISA добавила CVE в KEV и подтвердила активную эксплуатацию только 27 апреля — спустя две недели. Организации не получили формального сигнала о срочности вовремя.

Итог: три действия сегодня — проверить KB5082063, заблокировать исходящий SMB на периметре, включить мониторинг Event ID 4648. APT28 не ждёт.

#windows #security #apt28 #ntlm #cve #sysadmin #admin_future

🪟 Windows: BlueHammer, RedSun, UnDefend — три новых CVE которые ещё без патча

Коллеги, пока все фиксили KB5082063 и CVE-2026-32202, тихо подтвердились ещё три эксплуатируемые уязвимости Windows — и для двух из них патча пока нет.

Злоумышленники активно эксплуатируют три недавно раскрытые уязвимости Windows — BlueHammer, RedSun и UnDefend — для получения привилегий SYSTEM или повышенных прав администратора. Для RedSun и UnDefend патчи ещё не вышли.

Что известно о каждой:

BlueHammer — уязвимость в Windows Task Host, позволяет повышение привилегий до SYSTEM. CISA выдала отдельный приказ для федеральных агентств патчить BlueHammer. Патч есть в апрельском Patch Tuesday.

CVE-2026-32202 — та самая zero-click NTLM hash leak через LNK-файл. Microsoft первоначально выставила низкий риск в апреле, затем подтвердила активную эксплуатацию и обновила advisory. CISA дедлайн для федеральных агентств — 12 мая.

RedSun и UnDefend — подробности ограничены, оба позволяют SYSTEM/admin privesc, оба пока без патча.

# ШАГ 1: Убеждаемся что апрельские патчи стоят (BlueHammer + CVE-2026-32202)
Get-HotFix | Where-Object {
    $_.HotFixID -in @("KB5082063","KB5091157","KB5091470")
} | Select-Object HotFixID, InstalledOn

# ШАГ 2: Митигейшн CVE-2026-32202 (пока RedSun/UnDefend без патча)
# Блокируем исходящий NTLM на периметре:
netsh advfirewall firewall add rule `
    name="Block Outbound NTLM SMB" `
    dir=out action=block protocol=TCP localport=445,139

# ШАГ 3: Мониторинг аномальной NTLM-аутентификации
# Event ID 4648 = explicit credential use (признак relay-атаки)
Get-WinEvent -LogName Security -MaxEvents 200 |
    Where-Object {$_.Id -eq 4648} |
    Select-Object TimeCreated, Message |
    Format-List | Select-Object -First 5

# ШАГ 4: Для RedSun/UnDefend (нет патча) — принцип наименьших привилегий
# Проверяем кто в локальных Administrators:
Get-LocalGroupMember -Group "Administrators" |
    Where-Object {$_.PrincipalSource -ne "Local"} |
    Select-Object Name, PrincipalSource

# Убираем лишних, оставляем только нужных:
# Remove-LocalGroupMember -Group "Administrators" -Member "DOMAIN\SomeUser"

# ШАГ 5: Включаем Protected Users для privileged accounts
# Это ограничивает NTLM, Kerberos delegation и credential caching:
Add-ADGroupMember -Identity "Protected Users" `
    -Members "SensitiveAdmin1","SensitiveAdmin2"

Зачем это важно: фиксить уже патченные уязвимости недостаточно — нужно готовиться к тем, которые ещё без патча. Принцип наименьших привилегий и ограничение NTLM — единственная защита пока Microsoft не выпустит исправления.

Итог: три вектора атаки, два без патча. Protected Users + мониторинг Event 4648 + заблокированный исходящий SMB — это всё что есть прямо сейчас.

#windows #security #ntlm #cve #sysadmin #admin_future

🛡 ПЛАН ДЕЙСТВИЙ (ЧЕКЛИСТ)
Собрать Event ID 4024 с парка: выгрузить события с машин под управлением 24H2 и Server 2025 — это готовый перечень узлов, которые потеряют связь при переключении режима.
Аудит политик на серверах NPS: локализовать все сетевые политики, где активен PEAP-MSCHAPv2, и оценить охват инфраструктуры.
Пилотное внедрение EAP-TLS: настроить шаблон сертификата Workstation Authentication, включить автоподписку (Auto-Enrollment) через GPO и подготовить новую сетевую политику на NPS.
Глобальный аудит NTLM: активировать GPO «Сетевая безопасность: ограничения NTLM: Аудит…» (события 8001–8004) для выявления всех оставшихся в домене NTLM-зависимостей перед Этапом 3.

#activedirectory #ntlm #nps #radius #wifi #security #windows #powershell #sysadmin #admin_future

📅 Завтра, 13 октября, три события в один день: Patch Tuesday, конец основной поддержки Server 2022 и блокировка NTLMv1 для SSO

Коллеги, понедельник. Неделя, которую критически важно спланировать заранее, чтобы не тушить пожары на выходных.

📌 ЧТО ПРОИСХОДИТ
Октябрьский Patch Tuesday: плановый пакет обновлений безопасности Microsoft. Помним, что в сентябре был рекордный объем исправлений (около 970 CVE) и неприятные сайд-эффекты для инфраструктуры.

Windows Server 2022 — завершение Mainstream Support: прекращается выпуск несекьюрных хотфиксов и прием бесплатных обращений по общим багам. Фаза Extended Support (ежемесячные обновления безопасности) продолжится до октября 2031 года.

Блокировка NTLMv1 для SSO: плановое переключение ключа BlockNtlmv1SSO в дефолтный режим Enforce (1) на Windows 11 24H2 и Windows Server 2025. Под прямым ударом — бесшовный вход по Wi-Fi (802.1X) и VPN через MS-CHAPv2 (если на машинах не задействован Credential Guard).

🛠 СЕГОДНЯ, ДО ПРИХОДА ОБНОВЛЕНИЙ
Обязательно снимаем свежие бэкапы/снапшоты контроллеров домена и критических хостов до установки апдейтов:

PowerShell

# 1. Смотрим последние установленные обновления в системе
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

# 2. Ищем, кто в сети все еще генерирует NTLMv1 SSO (события аудита Event ID 4024)
Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' `
  -FilterXPath '*[System[EventID=4024]]' -MaxEvents 20 -ErrorAction SilentlyContinue

🛡 ОПЕРАЦИОННЫЙ ПЛАН НА НЕДЕЛЮ
Вторник: не бросаемся ставить всё подряд — сначала прицельно вычитываем список zero-day и свежие записи в каталоге CISA KEV.

Среда: раскатываем апдейты на тестовую группу серверов. Хосты Remote Desktop Services (RDS) тестируем отдельно и с пристрастием (учитывая сентябрьские зависания сессий).

Четверг – пятница: плановый накат на основной прод-парк. Держим открытым Microsoft Update Catalog — в сентябре критические фиксы для RDS были доступны исключительно там, минуя WSUS/WU.

Контроль всю неделю: внимательно следим за тикетами о проблемах с офисным Wi-Fi и подключением к VPN — с высокой вероятностью это будет блокировка NTLMv1 SSO, а не проблемы с физической сетью или точками доступа.

#patchtuesday #windows #ntlm #windowsserver #sysadmin #security #admin_future