Nightmare Eclipse: очередь дошла до антивирусов. Часть 3
Хабр, привет! На связи Александр Бек, аналитик-исследователь угроз кибербезопасности R ‑ Vision . В 2026 году исследователь Nightmare Eclipse , известный также под псевдонимами Chaotic Eclipse, MSNightmare и Dead Eclipse, опубликовал серию PoC-эксплойтов для уязвимостей нулевого дня. Сначала его работы были посвящены продуктам Microsoft, затем он обратился к стороннему ПО, в том числе к средствам защиты. В сентябре исследователь назвал себя Абдельхамидом Насери (Abdelhamid Naceri) и связал свои публикации с конфликтом с бывшим работодателем, Microsoft. Это объяснение отражает позицию самого автора. Однако для технического разбора PoC важнее то, как именно они используют механизмы работы средств защиты. Несмотря на личный характер мотивации автора, его технические работы представляют значительный интерес для специалистов по безопасности. Они демонстрируют не только эксплуатацию уязвимостей, но и изощрённые техники обхода доверенных процессов средств защиты. В фокусе моей статьи два эксплойта из этой серии: HardBreacher , нацеленный на Kaspersky Endpoint Security, и PrettyPrague , эксплуатирующий песочницу Avast Antivirus. Мы детально разберём механику работы обоих PoC, выделим характерные низкоуровневые артефакты, которые они оставляют в системе, и на их основе сформулируем подходы к построению корреляционных правил обнаружения. Главная задача — показать, что детектирование подобных атак должно опираться на железные аномалии в поведении процессов и объектов ОС, а не на сигнатуры конкретных имён файлов или эксплойтов. Такой подход позволяет создавать правила обнаружения, устойчивые к модификациям вредоносного кода. Читать далее