Анонимный ИБ-исследователь Nightmare Eclipse опубликовал PoC-эксплоит LegacyHive для новой 0-day-уязвимости в Windows. Баг позволяет непривилегированному пользователю получить доступ к разделам реестра других учетных записей, включая административные. Эксплоит появился всего через несколько часов после выхода июльских патчей Microsoft.

Проблема LegacyHive эксплуатирует службу профилей пользователей Windows (Windows User Profile Service, ProfSvc) и механизм, связанный с загрузкой пользовательских хайвов реестра (registry hive). Уязвимость затрагивает все поддерживаемые десктопные и серверные версии Windows.

Nightmare Eclipse объясняет, что при входе пользователя Windows должна загрузить его хайв UsrClass.dat. Так как сессия еще неактивна, ОС выполняет эту операцию в контексте NT AUTHORITY\SYSTEM. LegacyHive злоупотребляет этим и позволяет обычному пользователю подключить хайв другой учетной записи к собственной ветке Classes.

В результате атакующий получает возможность читать и изменять файл UsrClass.dat другого пользователя, где среди прочего хранятся настройки COM-классов и пользовательские ассоциации файлов, которые определяют, какие приложения Windows запускает при открытии объектов разного типа.

По словам ИБ-эксперта компании Tharros Labs Уилла Дорманна (Will Dormann), возможность изменять хайв администратора представляет собой «мощный примитив». К примеру, атакующий может настроить систему таким образом, чтобы при следующем входе администратора был запущен вредоносный код. Хотя сам злоумышленник не становится администратором, фактически он получает возможность добиться выполнения кода с его правами.

Опубликованный исследователем PoC не обеспечивает мгновенную компрометацию системы, так как атакующему заранее понадобится получить локальный доступ, узнать учетные данные обычного пользователя, а также имя учетной записи, которая может принадлежать администратору. То есть LegacyHive представляет собой инструмент для постэксплуатации.

Однако Nightmare Eclipse утверждает, что специально урезал свой эксплоит, чтобы затруднить использование LegacyHive в массовых атаках. По его словам, оригинальная версия эксплоита не требовала знания дополнительных учетных данных, работала не только с UsrClass.dat и позволяла загружать другие хайвы. Он отмечает, что самостоятельно восстановить недостающие части эксплоита смогут специалисты, которые достаточно хорошо разбираются в архитектуре Windows.

Стоит отметить, что ранее эксплоиты, опубликованные Nightmare Eclipse, уже использовались в реальных атаках. Некоторые из них, включая BlueHammer, взяли на вооружение вымогательские группировки.

Для обнаружения возможной эксплуатации LegacyHive можно использовать скрипт, уже подготовленный известным ИБ-исследователем Кевином Бомонтом (Kevin Beaumont). Кроме того, администраторам рекомендуют ограничить создание локальных непривилегированных учетных записей, отслеживать неожиданные загрузки хайвов службой ProfSvc и контролировать операции с NTUSER.DAT и UsrClass.dat.

Напомним, что это уже девятая 0-day-уязвимость, информацию о которой Nightmare Eclipse обнародовал на фоне затянувшегося конфликта с компанией Microsoft. Так, за последние месяцы исследователь опубликовал эксплоиты для уязвимостей в Defender, BitLocker и других компонентах Windows, включая BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091), UnDefend (CVE-2026-45498), YellowKey (CVE-2026-45585), GreenPlasma (CVE-2026-45586), MiniPlasma (CVE-2020-17103), GreatXML и RoguePlanet (CVE-2026-50656).

Исследователь обвиняет специалистов Microsoft Security Response Center в игнорировании отчетов об уязвимостях, блокировке его аккаунтов, удалении репозиториев с эксплоитами и издевательствах. В свою очередь представители Microsoft критикуют публикацию эксплоитов и раскрытие информации об уязвимостях до выхода исправлений.