BlueHammer & RedSun: Windows Defender CVE-2026-33825 uitgelegd

Op 3 april 2026 publiceerde een onderzoeker onder het alias Chaotic Eclipse een werkend proof-of-concept voor een local privilege escalation in Microsoft Defender. De exploit kreeg de naam BlueHammer. Elf dagen later, in de Patch Tuesday van april 2026, rolde Microsoft een fix uit en kreeg de kwetsbaarheid het nummer CVE-2026-33825. In de dagen daartussen dook een kortere variant op met de naam RedSun, die via een ander Defender-codepad dezelfde uitkomst op SYSTEM-niveau bereikt.

Wij hebben deze kwetsbaarheid niet ontdekt. De technische research is van Chaotic Eclipse, en de meest leesbare uitleg van de exploit-keten staat bij Picus Security, in hun stuk van 16 april. Wat wij hieraan kunnen toevoegen is wat Nederlandse SOC- en endpointteams deze week concreet moeten doen, in de volgorde die ertoe doet.

Wat er feitelijk in BlueHammer gebeurt

De real-time protection engine van Defender (MsMpEng.exe) draait als beschermde SYSTEM-service. Wanneer die engine een verdacht bestand detecteert, wordt het in quarantaine geplaatst of verwijderd. Dat is een file-operatie met SYSTEM-rechten. De crux zit in hoe het pad wordt gevalideerd tussen de check("is dit nog het bestand waarop ik zou reageren?") en het gebruik("schrijf hier de nieuwe inhoud").

BlueHammer wint de race tussen die twee momenten. De exploit werkt globaal als volgt:

1. Plaats een bestand dat gegarandeerd een Defender-detectie triggert. De onderzoeker gebruikte een EICAR-achtige lure in een door de aanvaller gecontroleerde directory.
2. Zet een batch opportunistic lock (oplock) op dat bestand. Zodra Defender het opent voor remediatie pauzeert de kernel de I/O van Defender op precies het instruction-boundary dat de exploit nodig heeft.
3. Terwijl Defender halverwege de remediatie bevroren zit, wordt de door de aanvaller gecontroleerde directory omgewisseld voor een NTFS junction point die verwijst naar C:\Windows\System32. De oplock wordt vrijgegeven.
4. Defender hervat, volgt de junction, en schrijft de quarantaine- of rollback-output naar het omgeleide pad met SYSTEM-rechten. Het slachtoffer is een system binary of een scheduled-task DLL die de aanvaller heeft uitgekozen om te overschrijven.
5. Zodra die binary daarna wordt uitgevoerd (service-start, logon-task, update-hook), draait de payload van de aanvaller als SYSTEM.

De gelijktijdig gerapporteerde variant RedSun ketent hetzelfde oplock+junction-primitief, maar tegen het cloud file rollback-pad van Defender (de Windows Cloud Files API / OneDrive placeholder-logica) in plaats van lokale quarantaine. Het resultaat is identiek: Defender schrijft in System32 onder SYSTEM. Waarom dat uitmaakt: afhankelijk van hoe een specifieke Defender-build is gepatcht, kan het ene primitief dicht zijn terwijl het andere nog open staat.

Hoe bezorgd moet een Nederlands SOC eigenlijk zijn?

Een eerlijke inkadering, want de Nederlandse infosec-pers slaat alles graag plat tot "nieuwe zero-day, patchen nu":

• Het is een lokale privilege escalation. De aanvaller heeft eerst code execution op de machine nodig. Als er al een kwaadaardige binary op uw endpoint draait, dan heeft u een groter probleem dan CVE-2026-33825.
• Maar lokaal is juist waar de moderne intrusion zich afspeelt. Phishing levert een unprivileged foothold; BlueHammer tilt die op naar SYSTEM zonder een tweede payload te droppen die EDR zou zien. Dat is het draaiboek voor de volgende ransomware-golf tegen het Nederlandse MKB en uitvoeringsorganisaties.
• Microsoft meldt bij het uitbrengen van de patch geen misbruik in het wild. Dat venster sluit nu. Publieke PoCs worden bewapend; de RH-ISAC-release van 3 april is al drop-in-klaar.
• Defender staat standaard aan op elk Nederlands endpointpark: gemeenten, zorg, MKB op Microsoft 365 Business Premium. Het aanvalsoppervlak is feitelijk elke Windows-werkplek die u heeft.

Wat uw team deze week zou moeten doen

Op volgorde van prioriteit, niet op volgorde van het alfabet.

Het grotere patroon

Picus, het Zero Day Initiative en CrowdStrike wijzen allemaal op hetzelfde: BlueHammer is geen geïsoleerde bug. In een venster van dertien dagen begin april 2026 doken drie afzonderlijke technieken tegen Defender op: BlueHammer (privilege escalation via quarantaine), UnDefend (geleidelijke degradatie van bescherming via het update-mechanisme) en RedSun (privilege escalation via cloud rollback). De gemene deler is Defender zelf: een privileged, altijd-aan proces dat elk bestand moet aanraken dat de gebruiker aanraakt. Die architectuur produceert een systemisch TOCTOU-oppervlak dat patches maar één pad tegelijk kunnen dichten.

In de praktijk betekent dat: de april-2026 platform-update is noodzakelijk maar niet voldoende. Als uw detectie-content alleen op de naam CVE-2026-33825 zoekt, mist u de volgende variant.

Detecteer het gedrag, niet de CVE. Drie signalen verraden samen de hele klasse van bugs, ook de varianten die nog geen naam hebben:

• Schrijfacties in beschermde paden (System32, Program Files, driver-stores) waarbij MsMpEng.exe of een andere privileged Defender-component het initiërende proces is. Defender heeft onder normale operatie niets te zoeken in die paden, dus elk event is triage waard, niet sampling.
• Het aanmaken van reparse-points of NTFS-junctions vanuit niet-admin processen, gericht op System32 of een vergelijkbaar gevoelige map. Dat is de voorbereidingshandeling voor elke TOCTOU-variant tegen het remediatie-mechanisme, ongeacht welk codepad de aanvaller uiteindelijk verderop uitbuit.
• Wijzigingen aan service-executables of scheduled-task-DLLs buiten een bekend patch- of installatievenster. Dat is de payload-stap: het bestand dat bij de eerstvolgende service-start of geplande taak SYSTEM-code gaat draaien.

Detecteer die drie en u dekt variant vijf al voordat die een naam heeft.

Wat wij voor klanten doen

Niets spectaculairs, en dat is precies het punt. Wij hebben deze bug niet gevonden; dat heeft Chaotic Eclipse gedaan. Wat wij wel hebben gedaan, is de publieke PoC in ons lab reproduceren zodat wij detectie-content konden schrijven op echt gedrag in plaats van op de advisory. Wat dat deze week oplevert voor onze Managed SOC- en IR-klanten:

• Sigma- en Sentinel-detecties voor de hierboven genoemde gedragsuitkomsten, getest op een lab-image waarop de publieke PoC draait en daarna uitgerold naar klant-tenants.
• Een compliance-diff: per klantomgeving welke endpoints de april-2026 Defender platform-build hebben en welke niet. Wij leveren dat aan als sorteerbare lijst, niet als een dashboard.
• Een korte pentest-validatie (voor klanten met een IR-retainer): wij laten de publieke PoC in een gecontroleerd venster los op een simulatiewerkplek van uw organisatie en controleren of de detectie afgaat voordat die wordt geblokkeerd. Gebeurt dat niet, dan passen wij de detectie aan.

Niets daarvan is bijzonder. Het is gewoon het werk. De waarde zit erin dat het in een voorspelbaar ritme gebeurt, met iemand die aanspreekbaar is op de uitkomst, vóór de volgende variant.