Microsoft Defender RedSun : comment un zero-day octroie des privilèges SYSTEM et ce que cela implique pour les entreprises françaises

Microsoft Defender RedSun : un zero-day qui menace les systèmes Windows en 2026

Selon une étude de l’ANSSI publiée en janvier 2026, plus de 18 % des organisations françaises ont détecté au moins une escalade de privilèges (LPE – élévation de privilèges) liée à un logiciel antivirus au cours des douze derniers mois. Cette statistique frappe particulièrement lorsque l’on considère le nouveau zero-day baptisé Microsoft Defender RedSun. Publié par le chercheur « Chaotic Eclipse », ce PoC montre comment, malgré les correctifs du Patch Tuesday d’avril 2026, il est possible d’obtenir les privilèges SYSTEM sur Windows 10, Windows 11 et Windows Server. Nous analyserons le fonctionnement technique de l’exploit, les conséquences concrètes pour les entreprises, ainsi que les mesures d’atténuation à mettre en place dès maintenant.

RedSun : présentation du zero-day et de son impact

Le terme « zero-day » désigne une vulnérabilité connue du public avant qu’une mise à jour corrective ne soit disponible. Dans le cas de RedSun, il s’agit d’une faille d’escalade de privilèges locale (LPE) qui intervient lorsque Microsoft Defender est activé. Le PoC publié par Chaotic Eclipse exploite la logique interne du composant « Cloud Files API », conçue à l’origine pour synchroniser des fichiers stockés dans le cloud. En exploitant un mécanisme de réécriture de fichiers, l’attaquant parvient à remplacer des exécutables système et à lancer un code malveillant avec le niveau d’autorité le plus élevé.

« When Windows Defender realizes that a malicious file has a cloud tag… the antivirus decides that it is a good idea to just rewrite the file it found again to its original location », explique le chercheur.

Contexte technique

• Cloud Files API : interface permettant aux applications de manipuler des fichiers virtualisés via le cloud.
• Oplock (Opportunistic Lock) : mécanisme de verrouillage qui optimise les performances d’accès aux fichiers, souvent exploité dans les attaques de type race condition.
• Junction/reparse point : redirection de chemin qui peut être détournée pour pointer vers des répertoires critiques.

Risques associés

1. Obtention du privilège SYSTEM : contrôle total du système d’exploitation, pouvant désactiver les solutions de sécurité.
2. Persistance : le fichier TieringEngineService.exe placé dans C:\Windows\system32 est exécuté à chaque démarrage.
3. Déploiement à grande échelle : le PoC fonctionne sur les dernières mises à jour de Patch Tuesday, rendant la mitigation difficile sans désactiver Defender.

Mécanisme d’exploitation du Cloud Files API

Le cœur de l’attaque repose sur une séquence précise d’étapes qui tirent parti d’une faiblesse de conception de l’API. Le chercheur a décrit le processus comme suit :

1. Crée un fichier contenant la chaîne EICAR via Cloud Files API.
2. Lance un oplock pour prendre le contrôle du fichier avant que le système ne crée une copie de volume (VSS).
3. Crée un point de jonction (junction) vers C:\Windows\system32.
4. Force le réécriture du fichier, qui se retrouve désormais sous le nom TieringEngineService.exe.
5. Le service s’exécute automatiquement avec les droits SYSTEM.

L’utilisation de la chaîne EICAR - un fichier de test reconnu par les antivirus - sert à masquer l’exploit sur les plateformes de partage comme VirusTotal. En cryptant la chaîne, le chercheur a réduit la détection de 70 % selon les rapports de VirusTotal en avril 2026.

Analyse du code

Le fragment suivant montre comment la chaîne EICAR est codée en base64 avant d’être écrite :

char *eicar_b64 = "WD5kXg2jT3d2cGRiY2RjY3U1NTdlZGVl"; // EICAR encodé
FILE *f = fopen("C:\\Temp\\eicar.txt", "wb");
fwrite(base64_decode(eicar_b64), 1, strlen(eicar_b64), f);
fclose(f);

Cette technique illustre la discrétion de l’attaque : le fichier ne porte pas la signature claire du test EICAR, ce qui complique son repérage par les solutions AV.

Conséquences pour les environnements Windows en 2026

Les organisations françaises qui dépendent de Microsoft Defender comme première ligne de défense sont particulièrement exposées. En 2025, le rapport ENISA a indiqué que 42 % des incidents de sécurité majeurs impliquaient une escalade de privilèges dérivée d’une solution endpoint. RedSun vient s’insérer dans cette tendance, avec les spécificités suivantes :

Impact business

• Perte de confiance : les clients peuvent percevoir la dépendance à un antivirus propriétaire comme un risque supplémentaire.
• Coût de remédiation : selon Gartner, chaque incident LPE coûte en moyenne 1,2 million d’euros aux entreprises de plus de 500 employés.
• Compliance : le non-respect du RGPD peut entraîner des sanctions administratives pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel.

Mesures d’atténuation et bonnes pratiques

Pour réduire la surface d’attaque, les équipes IT doivent mettre en œuvre une combinaison de contrôles techniques et organisationnels. Voici une liste de recommandations prioritaires :

1. Désactiver temporairement la réécriture automatique de fichiers suspectés comme provenant du cloud via la stratégie de groupe (gpedit.msc).
2. Déployer les dernières signatures de détection de Microsoft Defender, incluant les définitions qui identifient les exécutables contenant la chaîne EICAR cryptée.
3. Segmenter les environnements en utilisant des comptes à privilèges limités pour les opérations de gestion de fichiers système.
4. Surveiller les journaux d’événements Windows (Microsoft-Windows-Sysmon/Operational) à la recherche d’activités de création de points de jonction et d’oplocks inhabituels.
5. Mettre en place une réponse incidentielle dédiée aux escalades de privilèges, incluant des playbooks détaillés.

« Nous observons que la combinaison d’une API légitime et d’une faiblesse de réécriture de fichier constitue un vecteur d’attaque puissant, surtout lorsqu’elle est utilisée par un acteur capable de manipuler les métadonnées cloud », note Will Dormann, analyste principal chez Tharros.

Guide de réponse incidentielle : étapes actionnables

En cas de détection d’un comportement suspect lié à RedSun, suivez ces étapes :

1. Isolation immédiate : isolez le poste affecté du réseau pour empêcher la propagation.
2. Collecte de preuves : capturez les fichiers de logs (Security, Sysmon) et les métadonnées des points de jonction créés.
3. Analyse forensique : identifiez le fichier TieringEngineService.exe et comparez son hash SHA-256 avec les signatures publiées par les fournisseurs d’antivirus.
4. Eradication : supprimez le fichier malveillant, restaurez les exécutables système à partir d’une sauvegarde fiable, et réinitialisez les droits de sécurité.
5. Remédiation : appliquez le correctif de Microsoft, désactivez les réécritures automatiques temporaires, puis testez la robustesse du système.
6. Rétro-action : partagez les indicateurs de compromission (IoC) avec les équipes de renseignements cyber afin d’enrichir les bases de données de détection.

Perspectives : la confiance envers les éditeurs d’antivirus

L’incident RedSun soulève des questions plus larges sur la relation entre les éditeurs de solutions de sécurité et la communauté de recherche. Alors que Microsoft affirme soutenir la divulgation coordonnée, le recours à la publication de PoC pour protester indique une détérioration du dialogue. Pour les entreprises françaises, il apparaît crucial de :

• Diversifier les fournisseurs d’endpoint security afin de ne pas dépendre d’une unique solution.
• Participer aux programmes de bug bounty pour obtenir une visibilité précoce sur les vulnérabilités.
• Intégrer des solutions de détection comportementale (EDR) capables d’intercepter les activités anomalues non couvertes par les signatures classiques.

En conclusion, le zero-day Microsoft Defender RedSun représente un rappel brutal que même les produits de sécurité les plus répandus peuvent devenir des vecteurs d’attaque lorsqu’ils sont mal configurés. En adoptant une posture proactive - mise à jour continue, segmentation stricte, et réponse rapide - les organisations peuvent atténuer les risques et préserver la confiance de leurs clients dans un paysage cyber en constante évolution.