Nach Angaben von Huntress nutzten die Angriffe alle drei von Chaotic Eclipse veröffentlichten Techniken: BlueHammer, RedSun und UnDefend.
BlueHammer stützt sich auf sogenannte Operation Locks (Oplocks), um den Betrieb von Defender anzuhalten, und löst ein Signatur-Update aus, um Defender dazu zu bringen, die Datenbank des Security Account Manager (SAM) in sein Ausgabeverzeichnis zu kopieren. Anschließend liest die Technik die SAM-Hive aus, entschlüsselt die NT-Hashes der Benutzer, ändert vorübergehend alle Benutzerpasswörter auf ein neues und erzeugt mit diesem Passwort Administrator-Sitzungen, über die sich System-Berechtigungen erlangen lassen.
RedSun funktioniert nach demselben Prinzip, setzt jedoch auf das Überschreiben kritischer Systemdateien. Dabei wird Defender vorgespielt, eine nicht existierende „schädliche Datei" wiederherstellen zu müssen, um eine Kopie seiner selbst im Verzeichnis System32 abzulegen und anschließend eine Shell mit System-Rechten zu starten.
UnDefend schaltet Defender aus, indem es Definitionsdateien sperrt. Dazu überwacht es Änderungen an den Ordnern für Definitions-Updates und am Microsoft Malicious Software Removal Tool, um neue Dateien zu sperren, bevor Defender sie nutzen kann, und sperrt unmittelbar nach dem Start von Defender die Sicherungs-Definitionsdateien.
Ein auffälliges Muster war laut Huntress die Nutzung von für Benutzer beschreibbaren Verzeichnissen zum Ablegen und Ausführen von Dateien. Im jüngsten Fall wurden Binärdateien aus dem Bilder-Ordner eines Benutzers mit niedrigen Rechten sowie aus kurzen, zweibuchstabigen Unterordnern im Downloads-Verzeichnis gestartet.
Den Zugang zur Zielumgebung erlangten die Angreifer über eine SSL-VPN-Verbindung zu einer FortiGate-Firewall. Huntress identifizierte verdächtige FortiGate-SSL-VPN-Zugriffe, die mit der kompromittierten Umgebung in Verbindung standen, darunter eine Quell-IP-Adresse mit Geolokalisierung in Russland sowie weitere verdächtige Infrastruktur in anderen Regionen. Die Angreifer waren mit der Funktionsweise der Defender-Exploits nicht vertraut und scheiterten bei ihren Versuchen, führten aber manuelle Erkundungsoperationen über die Tastatur durch.
Die US-Cybersicherheitsbehörde CISA nahm CVE-2026-33825 am Mittwoch in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) auf und forderte Bundesbehörden auf, den Patch bis zum 6. Mai einzuspielen.