https://fennek.org/tags/defender/Recent content in Defender on Dust115 // SkullFox Digital ArchiveHugoenWed, 01 Jul 2026 20:00:00 -0400https://fennek.org/posts/nightmare-eclipse/Wed, 01 Jul 2026 20:00:00 -0400https://fennek.org/posts/nightmare-eclipse/Entre abril y junio de 2026, un investigador en disputa con Microsoft soltó ocho PoCs contra Defender y BitLocker, cronometrados para caer justo después de cada Patch Tuesday. No es una APT: es una persona con un rencor, y su código terminó armando a bandas de ransomware. Índice de la serie y mapa defensivo de toda la campaña.https://fennek.org/posts/bluehammer-redsun/Wed, 01 Jul 2026 19:50:00 -0400https://fennek.org/posts/bluehammer-redsun/Dos CVE distintos, la misma idea: hacer que Microsoft Defender —que corre como SYSTEM— escriba un fichero atacante dentro de C:\Windows\System32. La clave no es el CVE, es la clase de bug: una carrera TOCTOU armada con oplocks y junctions de NTFS. Deep-dive defensivo con detección comportamental.https://fennek.org/posts/undefend/Wed, 01 Jul 2026 19:40:00 -0400https://fennek.org/posts/undefend/CVSS 4.0. El más bajo de la campaña, y el más peligroso dentro de una kill chain. UnDefend no escala privilegios: es un DoS que deja a Microsoft Defender inservible mientras el panel sigue diciendo ‘protección activada’. El eslabón silencioso que precede a todo lo demás.https://fennek.org/posts/rogueplanet/Wed, 01 Jul 2026 19:20:00 -0400https://fennek.org/posts/rogueplanet/La cuarta vulnerabilidad de Defender del mismo actor, y la que seguía sin parche cuando escribí esto. Misma clase de bug que BlueHammer —TOCTOU con oplock y junction— pero por otra ruta: el pipeline de cuarentena, apoyado en Windows Error Reporting para ejecutar como SYSTEM. Deep-dive con detección comportamental, que aquí es el único control real.