https://fennek.org/tags/toctou/Recent content in Toctou on Dust115 // SkullFox Digital ArchiveHugoenWed, 01 Jul 2026 19:50:00 -0400https://fennek.org/posts/bluehammer-redsun/Wed, 01 Jul 2026 19:50:00 -0400https://fennek.org/posts/bluehammer-redsun/Dos CVE distintos, la misma idea: hacer que Microsoft Defender —que corre como SYSTEM— escriba un fichero atacante dentro de C:\Windows\System32. La clave no es el CVE, es la clase de bug: una carrera TOCTOU armada con oplocks y junctions de NTFS. Deep-dive defensivo con detección comportamental.https://fennek.org/posts/rogueplanet/Wed, 01 Jul 2026 19:20:00 -0400https://fennek.org/posts/rogueplanet/La cuarta vulnerabilidad de Defender del mismo actor, y la que seguía sin parche cuando escribí esto. Misma clase de bug que BlueHammer —TOCTOU con oplock y junction— pero por otra ruta: el pipeline de cuarentena, apoyado en Windows Error Reporting para ejecutar como SYSTEM. Deep-dive con detección comportamental, que aquí es el único control real.