Притворись антивирусом — и система сдастся: как обмануть Windows в два клика

Новый инструмент под названием Defendnot, свободно распространяемый на GitHub, способен полностью отключать Microsoft Defender на устройствах Windows, маскируясь под антивирусное программное обеспечение. Основной приём — использование нестандартного механизма в Windows Security Center (WSC), предназначенного для регистрации антивирусов. Когда система считает, что на компьютере уже есть установленный антивирус, встроенный Defender автоматически отключается, чтобы избежать конфликтов. При этом, по факту, никакой другой антивирус в систему не устанавливается — это всего лишь уловка для отключения встроенной защиты.



Этой особенностью и воспользовался автор Defendnot, известный под псевдонимом es3n1n. Он создал библиотеку, которая формально соответствует требованиям WSC и успешно проходит проверки Windows. Таким образом, поддельный антивирус регистрируется как легитимный, и Microsoft Defender без лишних вопросов отключает защиту в реальном времени.

Предшественником Defendnot был проект под названием no-defender , в котором использовался код настоящего антивируса для регистрации через WSC. Однако после того, как тот антивирусный вендор подал жалобу по DMCA, проект пришлось удалить с GitHub. Новый инструмент избежал аналогичных проблем: он построен полностью с нуля и использует фиктивную DLL, не нарушающую авторских прав.

Microsoft Defender немедленно отключается. При этом на устройстве не остаётся никакой активной защиты, что делает его уязвимым для любых атак. Для удобства атаки и устойчивости в системе Defendnot использует планировщик заданий Windows Task Scheduler — фальшивый антивирус будет автоматически запускаться при каждой загрузке системы.

В комплекте с инструментом идёт загрузчик, который позволяет передавать настройки через файл «ctx.bin»: можно указать имя отображаемого антивируса, отключить регистрацию и включить подробный лог.

Несмотря на то, что автор позиционирует проект как исследовательский, он ярко демонстрирует, как уязвимы даже доверенные компоненты системы безопасности при определённом уровне доступа и манипуляций.

В настоящее время Microsoft Defender начал детектировать и помещать Defendnot в карантин как угрозу под именем «Win32/Sabsik.FL.!ml», что свидетельствует о попытке закрыть канал отключения своей защиты, хотя корневая уязвимость — в самом механизме доверия к зарегистрированному ПО — остаётся без изменений.

Github | BleepingComputer

griever41269 писал(а):

mobile-nnm увы, но нет) не имею привычки запускать подозрительные файлы из инета, предварительно не проверив их на virustotal

вырезать дефендер чтобы потом файлы через вирустотал проверять...

Внезпно, показалось es3n1n => Есенин

почитал комментыну лол конечноэта тулза нужна не для того, чтобы отключать defender на своей винде, а чтобы отключать его на чужих компах))но, по всей видимости, людям пофиг, что их комп может стать частью чужого ботнета, на безопасность чхать они хотеливидимо терять уже давно нечего...

Это какое убогое железо надо иметь, что бы ещё из него, что то выпиливать.

Большинство комментов звучат так : Сразу после покупки автомобиля , отключаю на нём сигнализацию и противоугонку , что бы потом съездить в сервис и поставить всё заново. Ведь все производители идиоты , а я гений.

Что бы с этим не мучиться- после установки системы сразу устанавливаю антивирус и обязательно- не наш, оно так спокойнее. А вырезать защитника или ставить обманку - дело, конечно, личного вкуса...

BestCommentator писал(а):

Большинство комментов звучат так : Сразу после покупки автомобиля , отключаю на нём сигнализацию и противоугонку , что бы потом съездить в сервис и поставить всё заново. Ведь все производители идиоты , а я гений.

да, если эта "сигнализация и противоугонка" вставляет мне палки в колёса, ограничивает скорость езды, решает за меня, кого я должен и не должен возить на МОЕЙ машине, и выкидывает из багажника вещи, которые ей не понравились, то такую "сигнализацию и противоугонку" я с превеликим удовольствием выпилю с потрохами к чёртовой матери

griever41269
Спасибо за сполер. Быстро сработал.

Пусть все антивирусы идут к нехорошей маме. Сколько вреда они принесли и приносят.

marusia-perm писал(а):

А тут, судя по описанию, чик! И готово!

Так если "антивирус" уже детектируется как вредоносное ПО, то "чик" не получится. Как минимум, нужно будет сначала временно отключить защиту.
Если использовать опенсорсные однофайловые утилиты, не так много действий нужно. Зайти в настройки безопасности Windows, отключить временно защиту в реальном времени, запустить утилиту (или скрипт) и вуаля. Можно перезагружать компьютер, защита не включится, пока сами той же утилитой или скриптом не включите. Хотя бы Defender Control, хотя от и 2022 года, но на последнем Windows 11 нормально работает, отключает и включает.

griever41269 писал(а):

предпочитаю вырезать защитника с потрохами сразу же после установки винды

Не рекомендуют, поскольку некоторые программы некорректно работают без него либо не запускаются, так же как и Windows может некорректно работать Отключить проще, это ничем не мешает.

Тема Defenderа и антивирусов это как религия, каждый заблуждается в меру своих возможностей, уверенный в своей мнимой правоте. От паранойи до пофигизма.
Можно спорить до хрипоты, но если у вас есть данные особой важности, то нужно иметь для них отдельный ноут, не висящий в инете. Инфа через флешку. (У людей с важными данными есть деньги для этого). А на другом компе лазь в интернете.
Это единственный почти 100% способ избежать кражи данных. Только ноут потерять.
Пока вы висите в инете и есть что-то ценное на диске вы уязвимы что бы вы не делали и какие антивирусы не ставили!
Обойти можно все - вопрос уровня спеца.

Заморочки никому не нужны.
У меня один пароль для всего - отсутствие паролей.
И никаких антивирусов нет, поскольку антивирус - тот же вирус.
Если хочешь что-то утаить или спрятать - положи на видное место.

ksv1965 вы говорите о себе лично. Поймите кто-то на пенсию живет а у кого-то
300 битков есть - сравнивать глупо. У вас красть нечего вам и пофиг.

mobile-nnm писал(а):

Дефендер очень хорош для неопытных пользователей. Я как то написал батник, который копирует файлы паролей и кук хрома и вставляет их рядом с батником. На следующие сутки батник начал детектится как вирус.

О как. За каждым поведением следят!

griever41269 писал(а):

да, если эта "сигнализация и противоугонка" вставляет мне палки в колёса, ограничивает скорость езды, решает за меня, кого я должен и не должен возить на МОЕЙ машине, и выкидывает из багажника вещи, которые ей не понравились, то такую "сигнализацию и противоугонку" я с превеликим удовольствием выпилю с потрохами к чёртовой матери

А ещё штаны рвёт в клочья на старых знакомых, приглашённых на ужин.
Жену и детей по долгу не пускает домой.
Пустолайка. Постоянно хочет жрать.
Хозяина держит за дурака.
И спокойно, втихую выносит все чеки, платёжки, фотоальбомы и бумажники куда-то по ночам.
А утром, довольная и ухмыляющаяся возвращается - говорит была на конференции по обмену опытом и повышению квалификации.
А когда ночью, чуть колёса не сняли - дрыхла себе преспокойно.
Современный антивирус это крипто-макро-вирус.

А медикаментов груды
В унитаз, кто не дурак
Вот те жизнь! И вдруг — Бермуды!
Вот те раз! Нельзя же так!