Beveiligingslek in Microsoft Defender misbruikt bij ransomware-aanvallen

In dit artikel:

Een lek in Microsoft Defender, de antivirus die standaard in Windows zit, wordt inmiddels actief ingezet bij ransomware-aanvallen. Het Amerikaanse cyberagentschap CISA waarschuwt daarvoor en heeft de kwetsbaarheid, bekend als CVE-2026-33825 en door onderzoekers BlueHammer genoemd, op zijn lijst gezet van lekken die in het wild worden misbruikt.

Het probleem zat in software van Microsoft waarmee een aanvaller die al een eerste voet tussen de deur heeft zijn rechten kan opkrikken tot SYSTEM, het hoogste beheerniveau op een Windows-pc. Daarmee kan zo’n aanvaller vrijwel volledige controle over een getroffen apparaat krijgen. Begin april werd de kwetsbaarheid openbaar gemaakt, inclusief een werkend voorbeeld om het lek te misbruiken. Microsoft bracht op 14 april updates uit en gaf toen al aan dat misbruik waarschijnlijk was, ook al was daar op dat moment nog geen concreet bewijs van.

CISA voegde het lek op 22 april toe aan zijn exploit-lijst omdat het al actief werd misbruikt, al gaf de dienst geen details over wie erachter zit of hoe de aanvallen verlopen. Cybersecuritybedrijf GreyNoise merkte later op dat het lek ook in verband is gebracht met ransomware, iets wat niet altijd meteen door CISA apart wordt gemeld.