BlueHammer setzt nach der Beschreibung des Sicherheitsanbieters Vectra.ai an einer Race Condition im Bereinigungsablauf von Defender an: „Defender erkennt eine verdächtige Datei, entscheidet sich, sie umzuschreiben, und ein Angreifer gewinnt eine Race Condition, die dieses Umschreiben an einen von ihm gewählten Ort umleitet." So lasse sich SYSTEM-Zugriff ohne Kernel-Exploit oder Speicherbeschädigung erlangen – allein durch den Missbrauch der Art und Weise, wie Defender während der Bereinigung mit dem Dateisystem interagiert.

RedSun funktioniert ähnlich, zielt aber auf den Defender-Hintergrundprozess TieringEngineService.exe, der erkannte Dateien und Bedrohungen klassifiziert und priorisiert. Laut Vectra.ai genügt zum Auslösen eine eingebettete EICAR-Testzeichenfolge, mit der Sicherheitsteams üblicherweise gefahrlos prüfen, ob ein Virenschutz Bedrohungen erkennt. Erkennt Defender die Zeichenfolge, startet er einen Bereinigungszyklus, und RedSun gewinne das Wettrennen um die Umleitung des Schreibvorgangs; anschließend führe die Cloud Files Infrastructure die vom Angreifer platzierte Binärdatei mit SYSTEM-Rechten aus. RedSun wirkt laut Vectra gegen vollständig gepatchte Systeme mit Windows 10, Windows 11, Windows Server 2019 und neuer.

UnDefend wird eingesetzt, nachdem ein Angreifer über BlueHammer oder RedSun SYSTEM-Zugriff erlangt hat. Als Kindprozess von cmd.exe unter Explorer gestartet und mit dem Schalter „-aggressive" ausgeführt, entziehe es Defender laut Vectra schrittweise aktuelle Bedrohungsinformationen, ohne den harten Ausfall auszulösen, der eine offensichtliche Warnung erzeugen würde.

Huntress Labs beobachtete, dass die Angreifer manuell Befehle zur Rechte-Aufzählung ausführen, bevor sie den Exploit ansetzen. Binärdateien würden in unauffälligen Nutzerverzeichnissen wie dem Bilder-Ordner oder zweibuchstabigen Unterordnern innerhalb von Downloads abgelegt – unter Originalnamen sowie umbenannten Varianten, die der Erkennung entgehen sollen. Die umbenannten Dateien senkten die Erkennungsrate bei VirusTotal deutlich.

Hüseyin Can Yüceel, Leiter der Sicherheitsforschung bei Picus Security, bestätigt, dass die drei Exploits inzwischen mit minimalen Änderungen genutzt werden. Es handle sich um wenig komplexes, aber wirksames Vorgehen, bei dem mäßig versierte Angreifer öffentlichen Exploit-Code nach einer Kompromittierung zur Rechteausweitung oder zum Schwächen der Endpunktabwehr einsetzen. Die Schwächen verweisen ihm zufolge auf grundlegende Probleme bei Pfadvalidierung, Race Conditions und einem Übermaß an Vertrauen in privilegierte Dateioperationen.

Justin Howe, Senior Solutions Architect bei Vectra, beschreibt RedSun und UnDefend als eigenständige, voneinander unabhängige Schwachstellen, für die es noch keine CVEs gibt. Jeder der Exploits missbrauche einen anderen Aspekt davon, wie Defender privilegierte Dateioperationen ausführt, ohne die eigenen Ein- und Ausgabepfade im Moment der Ausführung zu prüfen. „Das größere Bild ist, dass Defender innerhalb der Vertrauensgrenze liegt, die er durchsetzen soll. Wenn Angreifer seine eigenen privilegierten Abläufe manipulieren, wird er zum Auslieferungsmechanismus", so Howe.

Das eigentlich Schwierige für Angreifer sei nicht die Ausnutzung, sondern der Erstzugriff. Jeder von Huntress gemeldete Fall habe mit einem kompromittierten SSL-VPN-Konto ohne Multifaktor-Authentifizierung begonnen. Howe empfiehlt, die April-2026-Updates von Microsoft einzuspielen und das Vorhandensein der Antimalware-Plattform v4.18.26050.3011 zu prüfen – da UnDefend das Dashboard fälschen könne, solle die Version direkt verifiziert werden. Zudem rät er zu Multifaktor-Authentifizierung auf jedem VPN- und Fernzugriffspfad, zum Blockieren der Ausführung aus beschreibbaren Nutzerverzeichnissen wie Downloads, Pictures und Temp sowie dazu, den Hash von TieringEngineService.exe als Referenz festzuhalten.