https://fennek.org/categories/threat-intelligence/Recent content in Threat Intelligence on Dust115 // SkullFox Digital ArchiveHugoenWed, 01 Jul 2026 20:00:00 -0400https://fennek.org/posts/nightmare-eclipse/Wed, 01 Jul 2026 20:00:00 -0400https://fennek.org/posts/nightmare-eclipse/Entre abril y junio de 2026, un investigador en disputa con Microsoft soltó ocho PoCs contra Defender y BitLocker, cronometrados para caer justo después de cada Patch Tuesday. No es una APT: es una persona con un rencor, y su código terminó armando a bandas de ransomware. Índice de la serie y mapa defensivo de toda la campaña.https://fennek.org/posts/bluehammer-redsun/Wed, 01 Jul 2026 19:50:00 -0400https://fennek.org/posts/bluehammer-redsun/Dos CVE distintos, la misma idea: hacer que Microsoft Defender —que corre como SYSTEM— escriba un fichero atacante dentro de C:\Windows\System32. La clave no es el CVE, es la clase de bug: una carrera TOCTOU armada con oplocks y junctions de NTFS. Deep-dive defensivo con detección comportamental.https://fennek.org/posts/undefend/Wed, 01 Jul 2026 19:40:00 -0400https://fennek.org/posts/undefend/CVSS 4.0. El más bajo de la campaña, y el más peligroso dentro de una kill chain. UnDefend no escala privilegios: es un DoS que deja a Microsoft Defender inservible mientras el panel sigue diciendo ‘protección activada’. El eslabón silencioso que precede a todo lo demás.https://fennek.org/posts/yellowkey-greatxml/Wed, 01 Jul 2026 19:30:00 -0400https://fennek.org/posts/yellowkey-greatxml/Dos bypass de BitLocker que atacan el mismo punto ciego —el entorno de recuperación de Windows (WinRE), que corre antes de que las defensas despierten— pero con modelos de amenaza opuestos: YellowKey necesita acceso físico y TPM-only; GreatXML necesita ser admin una vez y luego sobrevive a la respuesta a incidentes.https://fennek.org/posts/rogueplanet/Wed, 01 Jul 2026 19:20:00 -0400https://fennek.org/posts/rogueplanet/La cuarta vulnerabilidad de Defender del mismo actor, y la que seguía sin parche cuando escribí esto. Misma clase de bug que BlueHammer —TOCTOU con oplock y junction— pero por otra ruta: el pipeline de cuarentena, apoyado en Windows Error Reporting para ejecutar como SYSTEM. Deep-dive con detección comportamental, que aquí es el único control real.https://fennek.org/posts/greenplasma-miniplasma/Wed, 01 Jul 2026 19:10:00 -0400https://fennek.org/posts/greenplasma-miniplasma/Dos rutas más a SYSTEM. Una nueva (GreenPlasma, abusando del framework de texto CTFMON); otra que no debería existir (MiniPlasma, que reutiliza sin cambios un PoC de Project Zero de 2020 porque el parche de entonces nunca funcionó de verdad). La historia de por qué un CVE de 2020 escala privilegios en 2026.