A poche ore dal Patch Tuesday di giugno — quello record con circa 200 falle corrette — il ricercatore noto come Nightmare Eclipse ha pubblicato su GitHub un nuovo exploit zero-day per Microsoft Defender, battezzato RoguePlanet. Il codice sfrutta una race condition nel componente antivirus integrato di Windows per ottenere una shell con privilegi SYSTEM, il livello più alto del sistema operativo, su macchine Windows 10 e Windows 11 completamente aggiornate.
Un braccio di ferro che continua
Non è un episodio isolato: lo stesso ricercatore ha già rilasciato diversi zero-day per prodotti Microsoft negli ultimi mesi, dopo aver espresso pubblicamente il proprio disappunto per come l'azienda gestisce le segnalazioni di vulnerabilità e per il trattamento ricevuto in passato. Il tempismo è studiato: la pubblicazione è arrivata subito dopo che Microsoft aveva corretto, proprio nel Patch Tuesday di giugno, due falle di Defender precedentemente divulgate dallo stesso autore — già finite nel catalogo KEV di CISA perché sfruttate in attacchi reali.
Quanto è affidabile l'exploit
Trattandosi di una race condition, l'exploit non funziona sempre al primo colpo: su alcune macchine il ricercatore riporta un successo del 100%, su altre risultati altalenanti. La minaccia però è concreta: la società di sicurezza ThreatLocker ha riprodotto in modo indipendente l'attacco, confermando che il problema non è teorico. Da notare che si tratta di una escalation di privilegi locale: l'attaccante deve già avere un accesso iniziale alla macchina, ma da lì può prendere il controllo completo del sistema.
Cosa possono fare le aziende
In attesa di una correzione ufficiale da parte di Microsoft, le contromisure sono quelle tipiche per gli exploit LPE pubblici: monitorare i processi figli anomali generati dai componenti di Defender, applicare il principio del privilegio minimo sugli account utente e valutare soluzioni di allowlisting applicativo — lo stesso ThreatLocker segnala che i propri controlli bloccavano l'attacco nella configurazione predefinita. La vicenda riapre inoltre il dibattito sulla coordinated disclosure: quando il rapporto tra ricercatori e vendor si incrina, a pagarne il prezzo sono gli utenti finali, che si ritrovano esposti a exploit pubblici senza patch disponibile.
