1
• Исследователь под псевдонимом es3n1n зареверсил службу Windows Security Center и благодаря этому нашел способ отключить Microsoft Defender на устройствах Windows. А еще разработчик создал инструмент под названием Defendnot, который использует данную уязвимость и позволяет отключать Defender, не прибегая к удалению или вмешательству в системные службы.
• Суть проста: у Windows Security Center (WSC) есть недокументированный API, благодаря чему можно зарегистрировать в системе поддельный антивирусный продукт, который может пройти все проверки Windows. После этого Windows автоматически отключает Microsoft Defender, чтобы избежать конфликтов при запуске нескольких приложений безопасности на одном устройстве.
• В общем и целом, тулза Defendnot злоупотребляет этим API, выполняет все необходимые действия для отключения Defender и создает задачу в "планировщике задач", что позволяет инструменту запускаться при каждом запуске Windows.
• Хотя Defendnot считается исследовательским проектом, инструмент демонстрирует, как можно манипулировать надёжными системными функциями для отключения систем безопасности. В настоящее время Microsoft Defender детектит и помещает Defendnot в карантин как «Win32/Sabsik.FL.!ml;».
➡️ В блоге автора есть хорошая статья по разработке данного инструмента и по реверсу службы: https://blog.es3n1n.eu
➡️ GitHub: https://github.com/es3n1n/defendnot
#ИБ