« Je ne bluffais pas Microsoft » : ce chercheur vient de punir Microsoft en lâchant le zero day ultra dangereux BlueHammer sur tous les PC
Un spécialiste de la cybersécurité, agacé par le silence de Microsoft, vient de balancer publiquement un outil d’attaque exploitant une brèche critique dans Windows Defender. Ce geste audacieux expose des millions de machines à un risque d’escalade de droits, transformant un simple utilisateur en super-admin. Pour les geeks et gamers, c’est l’alerte rouge sur la sécu des PC quotidiens.
Qu’est-ce que BlueHammer et comment ça fonctionne ?
Cette vulnérabilité, baptisée BlueHammer, cible le cœur de Windows Defender, l’antivirus intégré à Windows. Elle repose sur une faille de type élévation de privilèges locale (LPE), exploitant une course contre la montre (TOCTOU) dans le processus de mise à jour des signatures via l’interface RPC IMpService. Un attaquant avec un accès basique peut ainsi manipuler des fichiers sensibles, comme via Volume Shadow Copy, pour décrocher des droits SYSTEM complets. Le code proof-of-concept, posté sur GitHub par Chaotic Eclipse (alias Nightmare-Eclipse), est fonctionnel mais encore perfectible – il rate parfois sa cible. Des experts comme Will Dormann l’ont testé et validé son efficacité réelle. En 2026, Windows cumule déjà plusieurs zero-days majeurs, avec plus de 1 milliard d’appareils potentiellement touchés selon des estimations Forbes.
Pourquoi ce leak spectaculaire contre Microsoft ?
Chaotic Eclipse n’a pas mâché ses mots : il accuse Microsoft d’avoir ignoré ses alertes et de traîner des pieds sur les correctifs. Après des mois de divulgation coordonnée infructueuse, il a opté pour la transparence totale, publiant l’exploit le 3 avril pour forcer la main – « Je ne bluffais pas », lance-t-il. Microsoft campe sur sa politique de divulgation responsable, priorisant les patches avant toute expo publique. Ce bras de fer ravive les débats geeks sur l’éthique hacker : full disclosure ou coordination ? Des tweets comme celui de @ptdbugs détaillent la mécanique RPC, boostant la visibilité. BleepingComputer note que le repo GitHub tourne à plein régime, avec des forks en pagaille.
Quels dangers pour vos setups et que faire maintenant ?
Besoin d’un accès physique ou initial pour lancer BlueHammer, mais une fois dedans, c’est open bar : vol de creds via dump SAM, installation de malwares, ou pire pour un gamer, wipe de saves ou minage crypto en douce. Pas de patch officiel au 9 avril, malgré les Patch Tuesday récents – Microsoft tarde. Les pros déploient déjà des règles YARA pour traquer l’exploit. Surveillez les mises à jour Defender, limitez les accès locaux, et activez les audits avancés. Pour les rigs gaming, un AV tiers comme Malwarebytes en complément n’est pas du luxe. Cette affaire rappelle que même Defender peut se retourner contre vous, poussant la communauté à une vigilance accrue en attendant le fix.
Les tensions entre chercheurs et géants tech comme Microsoft promettent d’évoluer, mais pour l’instant, protégez vos machines – le prochain Patch Tuesday pourrait bien être décisif.
1 milliard d’appareils touchés c’est flippant quand même. La faille dans Defender, jamais pensé que l’antivirus intégré serait si vulnérable.
C’est clair, mais parfois ça montre aussi que les bugs peuvent être vite corrigés, pas que du négatif.
Carrément flippant, j’ai vu un PC pro compromis direct à cause d’une update Defender
Le fait que BlueHammer nécessite un accès physique ou local limite un peu les dégâts mais c’est quand même flippant que ça donne direct tous les droits system.
Grave, un accès local c’est déjà trop quand ça donne un contrôle total du system.
Grave, avoir le contrôle sys direct c’est un truc ultra chaud meme avec accès local, j’ai déjà vu ça causer des gros dégâts
J’suis surpris que BlueHammer requiert un accès physique au départ, ça limite un peu l’impact non ? Mais bon, pour les gamers ça craint quand même.
Tu penses que l’accès physique limite vraiment l’exploits ou y’a d’autres vecteurs d’attaque ici ?
C’est sûr que l’accès physique limite, mais souvent c’est la porte d’entrée pour d’autres attaques ensuite.