LegacyHive : новый 0-day, объявленный как "ломающий ОС", не оправдал ожиданий

«Серийный мучитель» от Microsoft, известный своими эффектными 0-day, выпустил LegacyHive. По мнению исследователей: полезен при пост-компрометации, далёк от обещанной разрушительной уязвимости.

Факты

Исследователь (или группа), известный в сообществе как "серийный мучитель Microsoft" — автор множества 0-day атак на Windows за последние несколько лет — только что опубликовал LegacyHive, позиционируемый как "кошмарный" zero-day. По данным The Register (15 июля 2026 года), аналитики, изучившие Proof of Concept (PoC), оценивают его более сдержанно: это интересный инструмент, но применимый только после компрометации и далеко не такой разрушительный, как заявлялось.

Анализ

Название LegacyHive — это явный намёк: уязвимость затрагивает hives (ветки) реестра Windows, связанные с устаревшими компонентами (вероятно, механизмы аутентификации или конфигурации, унаследованные от старых версий NT). Для эксплуатации требуется:

1. Изначальный доступ к рабочей станции или серверу (скомпрометированная учётная запись, локальное выполнение кода).
2. Достаточные привилегии для манипуляции с критически важными ключами реестра.
3. Точная цепочка конфигурации, чтобы добиться ожидаемого повышения привилегий.

Проще говоря: это не RCE без аутентификации. Речь идёт о цепочке LPE (локальное повышение привилегий) или постэксплуатационном трюке для сохранения доступа. Полезно в рамках полной kill chain, но не подходит для создания интернет-червя.

Что это значит

• Вокруг 0-day часто возникает разрыв между громкими заявлениями и реальной технической картиной. Это не первый случай, когда исследователь объявляет "главную уязвимость", а в итоге представляет нишевый инструмент.
• Такие инструменты остаются опасными для защитников: злоумышленник, уже получивший доступ к сети, получит дополнительный способ расширения привилегий, что критически важно в сценариях современных программ-вымогателей, где локальное повышение привилегий — ключ к распространению шифрования на весь домен.
• Правильная оборонительная тактика не меняется: сокращение поверхности атаки, сегментация, мониторинг чувствительных манипуляций с реестром.

Что делать сейчас

• Не паниковать: в ближайшей перспективе не ожидается массовой волны эксплуатаций — уязвимость не открывает дверь без аутентификации.
• Проверить возможности EDR на конечных точках — в ближайшие дни вендоры должны выпустить правила обнаружения LegacyHive.
• Охотиться за аномальными манипуляциями с ветками реестра (HKLM\SYSTEM\CurrentControlSet\..., SECURITY, SAM).
• Напомнить руководству, что история "сенсационный 0-day = немедленный риск" часто переоценена. Важнее полная цепочка эксплуатации, а не изолированный CVE.