Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.
Nightmare Eclipse, attivo anche con l'alias Chaotic Eclipse, ha rilasciato il 31 agosto 2026 un proof-of-concept exploit denominato HardBreacher che targetta una vulnerabilità di privilege escalation in Kaspersky Endpoint Security. Il ricercatore, già noto per exploit zero-day su Windows e Microsoft Defender poi operazionalizzati in-the-wild, descrive il proprio codice come "improvvisato ma funzionante". Kaspersky ha dichiarato a SecurityWeek che la fix è disponibile tramite aggiornamento automatico o manuale del database, una modalità che distingue questa risposta da una patch strutturale del prodotto.
- Nightmare Eclipse rilascia HardBreacher, PoC di privilege escalation contro Kaspersky Endpoint Security, proseguendo un pattern di targeting sistematico degli strumenti di difesa endpoint.
- L'exploit compromette il processo UI di Kaspersky, manipolando le decisioni interne di access-control e causando malfunzionamenti del prodotto con concessione o blocco arbitrario di accessi a file.
- Kaspersky afferma che la vulnerabilità è stata risolta tramite aggiornamento database, non mediante patch del software: la distinzione rileva per chi monitora la consistenza del perimetro di sicurezza.
- Nightmare Eclipse ha precedenti documentati di exploit su Windows Defender poi sfruttati da attori maliziosi, elevando il profilo di attenzione su questo rilascio.
Il meccanismo: conquistare l'UI per piegare il kernel-adjacent
Secondo la descrizione del ricercatore riportata da SecurityWeek, HardBreacher opera prendendo il controllo del processo UI di Kaspersky Endpoint Security. Questo componente, che opera con privilegi elevati per interfacciarsi con le decisioni di sicurezza del sistema, diventa il punto di leva per manipolare il comportamento del prodotto. Nightmare Eclipse ha affermato che "Kaspersky completely loses it when you take control over the UI process": il prodotto smette di funzionare correttamente, permettendo di concedere o bloccare accesso a file non autorizzati.
La tecnica esemplifica una categoria di attacchi crescente contro i prodotti di sicurezza stessi: il software endpoint, progettato per operare con privilegi kernel-adjacent, presenta una superficie di attacco privilegiata che, se compromessa, inverte la logica difensiva. Il protector diventa gatekeeper manipolabile, con impatto a cascata sull'intero sistema operativo.
HardBreacher: duct tape che funziona
"The PoC is not in the best shape at all, it is basically duct taped, I just managed to make it work and that's all" — Nightmare Eclipse, via SecurityWeek
L'autovalutazione del ricercatore non attenua la rilevanza tecnica. Il codice, rilasciato su repository pubblico con licenza MIT, include un componente denominato SolidSnake descritto come companion payload o shellcode stager. Secondo Malwaretips, il PoC deposita un file DLL in C:\Windows\System32\MY_SNAKE_IS_SOLID.dll con permessi completi per l'utente corrente, dimostrando capacità di scrittura arbitraria in percorsi protetti di sistema.
Fonte 5 specifica che la versione presunta affetta è Kaspersky Antivirus for Endpoint v14.0.0.504 su Windows 11 25H2, e che l'exploit non richiede accesso di rete, social engineering o privilegi amministrativi pregressi: un account standard è sufficiente. Questi dettagli tecnici non sono verificati indipendentemente dalle fonti primarie di SecurityWeek o Kaspersky.
Kaspersky risponde: database update, non patch prodotto
La dichiarazione di Kaspersky a SecurityWeek, riportata testualmente, è cristallina: "The corresponding fix is delivered via an automatic update, or users can trigger a database update manually". Questa formulazione, se letta alla lettera, indica una correzione distribuita attraverso il database di firme o regole del prodotto, non attraverso una modifica del codice eseguibile.
La distinzione è operativamente significativa. Un aggiornamento database intercetta pattern noti o regola comportamenti, ma non necessariamente rimuove la vulnerabilità strutturale che permette il takeover del processo UI. Se la root cause risiede nella logica di interazione tra componenti UI e kernel, la firma potrebbe mitigare l'exploit pubblico senza chiudere la classe di vulnerabilità. Kaspersky non ha rilasciato advisory strutturato con CVE, CVSS o dettaglio tecnico della correzione.
Il pattern Nightmare Eclipse: subversione sistematica dei difensori
Il track record del ricercatore, documentato da SecurityWeek, include exploit zero-day per Windows e Microsoft Defender, alcuni dei quali "ended up being exploited in the wild by malicious actors". Tra i precedenti, ShieldBreak (spawn shell con privilegi System) e LegacyHive (privilege escalation). La fonte 5 cita inoltre, non verificabile indipendentemente, strumenti come BlueHammer, RedSun e UnDefend associati a Huntress.
La sequenza — prima Microsoft Defender, ora Kaspersky — indica un focus deliberato sulla subversione degli strumenti di difesa endpoint, non delle applicazioni utente. Questa strategia massimizza l'impatto: compromettere il difensore rende invisibile l'attacco successivo, eludendo il monitoring che il prodotto stesso dovrebbe fornire. Il dossier non documenta che HardBreacher sia già operazionalizzato in-the-wild, ma il precedente di Nightmare Eclipse impone monitoraggio attivo.
Perché è importante
Il dossier non specifica la natura completa dei dati esposti o modificabili tramite l'exploit, né documenta misure correttive strutturali oltre l'aggiornamento database dichiarato. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore a campagne note allo stato attuale.
La fonte non primaria Malwaretips afferma che "no patch was available at the time the PoC was published", in contrasto con la dichiarazione di Kaspersky a SecurityWeek. Questa discrepanza non è risolvibile con le fonti disponibili e costituisce un limite del dossier. La validazione indipendente del PoC da parte di terzi non è documentata nelle fonti fornite.
Il brief non elenca IoC verificati, timeline di disclosure, o versione esatta confermata ufficialmente da Kaspersky. L'attribuzione dell'exploit a Nightmare Eclipse è dichiarata dalle fonti; il movente — ricerca, dimostrazione, o predisposizione a campagne future — non è documentato.
Domande e risposte
HardBreacher permette remote code execution?
Il brief documenta privilege escalation e arbitrary file write, non remote code execution. La fonte non classifica la vulnerabilità come RCE.
Perché l'aggiornamento database differisce da una patch?
Il database update modifica firme, regole o comportamenti rilevati, mentre una patch strutturale altera il codice eseguibile del prodotto. Kaspersky ha dichiarato esplicitamente la prima modalità; la seconda non è documentata.
Qual è il rischio residuo se l'aggiornamento è applicato?
Il dossier non contiene dati sufficienti: senza advisory tecnico con CVE o dettaglio della correzione, non è verificabile se la root cause sia eliminata o solo l'exploit pubblico intercettato.
Fonti
- https://www.securityweek.com/nightmare-eclipse-drops-hardbreacher-kaspersky-product-exploit/
- https://www.hendryadrian.com/nightmare-eclipse-drops-hardbreacher-kaspersky-product-exploit/
- https://radar.offseq.com/threat/nightmare-eclipse-drops-hardbreacher-kaspersky-product-exploit-2761cce57a3b1047
- https://www.itsecuritynews.info/nightmare-eclipse-drops-hardbreacher-kaspersky-product-exploit/
- https://malwaretips.com/threads/big-breaking-guardian-turned-gatekeeper-zero-day-eop-in-kaspersky-endpoint-security-lets-attackers-own-the-protector.142998/
- https://wa.me/?text=Nightmare%20Eclipse%2C%20also%20known%20as%20Chaotic%20Eclipse%2C%20has%20released%20a%20proof-of-concept%20exploit%20called%20HardBreacher%20that%20targets%20a%20privilege%20escalation%20flaw%20in%20Kaspersky%20Endpoint%20Security.%20Kaspersky%20says%20the%20underlying%20issue%20has%20already%20been%20fixed%20through%20an%20automatic%20or%20manual%20database%20update.%20%23NightmareEclipse%20%23ChaoticEclipse%20%23HardBreacher%20%23KasperskyEndpointSecurity...%20https%3A%2F%2Fwww.hendryadrian.com%2F%3Fp%3D111566
- https://radar.offseq.com/console
- https://radar.offseq.com/threats?sortBy=createdAt&sortOrder=desc
- https://breach.offseq.com/
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.