Притворись антивирусом — и система сдастся: как обмануть Windows в два клика

Новый инструмент под названием Defendnot, свободно распространяемый на GitHub, способен полностью отключать Microsoft Defender на устройствах Windows, маскируясь под антивирусное программное обеспечение. Основной приём — использование нестандартного механизма в Windows Security Center (WSC), предназначенного для регистрации антивирусов. Когда система считает, что на компьютере уже есть установленный антивирус, встроенный Defender автоматически отключается, чтобы избежать конфликтов. При этом, по факту, никакой другой антивирус в систему не устанавливается — это всего лишь уловка для отключения встроенной защиты.



Этой особенностью и воспользовался автор Defendnot, известный под псевдонимом es3n1n. Он создал библиотеку, которая формально соответствует требованиям WSC и успешно проходит проверки Windows. Таким образом, поддельный антивирус регистрируется как легитимный, и Microsoft Defender без лишних вопросов отключает защиту в реальном времени.

Предшественником Defendnot был проект под названием no-defender , в котором использовался код настоящего антивируса для регистрации через WSC. Однако после того, как тот антивирусный вендор подал жалобу по DMCA, проект пришлось удалить с GitHub. Новый инструмент избежал аналогичных проблем: он построен полностью с нуля и использует фиктивную DLL, не нарушающую авторских прав.

Microsoft Defender немедленно отключается. При этом на устройстве не остаётся никакой активной защиты, что делает его уязвимым для любых атак. Для удобства атаки и устойчивости в системе Defendnot использует планировщик заданий Windows Task Scheduler — фальшивый антивирус будет автоматически запускаться при каждой загрузке системы.

В комплекте с инструментом идёт загрузчик, который позволяет передавать настройки через файл «ctx.bin»: можно указать имя отображаемого антивируса, отключить регистрацию и включить подробный лог.

Несмотря на то, что автор позиционирует проект как исследовательский, он ярко демонстрирует, как уязвимы даже доверенные компоненты системы безопасности при определённом уровне доступа и манипуляций.

В настоящее время Microsoft Defender начал детектировать и помещать Defendnot в карантин как угрозу под именем «Win32/Sabsik.FL.!ml», что свидетельствует о попытке закрыть канал отключения своей защиты, хотя корневая уязвимость — в самом механизме доверия к зарегистрированному ПО — остаётся без изменений.

Github | BleepingComputer

infernos13 писал(а):

почитал комментыну лол конечноэта тулза нужна не для того, чтобы отключать defender на своей винде, а чтобы отключать его на чужих компах))но, по всей видимости, людям пофиг, что их комп может стать частью чужого ботнета, на безопасность чхать они хотеливидимо терять уже давно нечего...

Меня тоже это улыбнуло, что народ вообще не понял, что это за зверь и для чего он в первую очередь будет использоваться.

Народ, эта штукенция нужна, чтобы отключать ваши виндовс дефендеры без вашего ведома.

Yurkinzzz писал(а):

А можно поинтересоваться, какой антивирус вы ставите? Касперский?

AVG Internet Security, друг Аваста (владелец-разработчик - тот же, меню то почти то же самое, но ощутимо команда Авасте чуть обгоняет..или же лучше финансируется. Тем не менее - штука класная, молодцом держится). Лицензия до 2040 года.

антивирусы самая большая афёра, они никогда ни от чего не защищали и давали рандомные фальшивые срабатывания для создания видимости нужности. не забывайте, что первыми создателями вирусов были продавцы антивирусов, чтобы создать себе рынок и вынудить людей покупать их программы.

Запилите кто-нибудь на трекер

Добавлено спустя 1 минуту 32 секунды:

zz13 писал(а):

антивирусы самая большая афёра, они никогда ни от чего не защищали и давали рандомные фальшивые срабатывания для создания видимости нужности. не забывайте, что первыми создателями вирусов были продавцы антивирусов, чтобы создать себе рынок и вынудить людей покупать их программы.

Это твёрдый факт?
Например один из первых вирусов айловью создавался по-приколу

это задокументированный факт, речь не про один из первых, а само появление вирусов как факта для продвижения продаж антивирусов. авторы антивирусов спутя лет 20 сознались что они сами писали вирусы чтобы принудить людей покупать антивирусы. куда уж точнее то.

Не трогаю Microsoft Defender... Не мешает от слова совсем...

Дефендеру, считаю, нужно сказать спасибо за отсутствие тотальных вирусных эпидемий во всяких бухгалтериях. Когда успешно выпиленный вирус тут же заносится обратно с одной из флешечек, которые тётушки таскают с работы домой и из дому.

Вот реально, не помню уже, когда такое последний раз было.

infernos13 писал(а):

почитал комментыну лол конечноэта тулза нужна не для того, чтобы отключать defender на своей винде, а чтобы отключать его на чужих компах))но, по всей видимости, людям пофиг, что их комп может стать частью чужого ботнета, на безопасность чхать они хотеливидимо терять уже давно нечего...

github это образовательный портал. Соответственно, эта тулза создана в образовательных целях.

mobile-nnm писал(а):

griever41269 и найти свой пароль в слив базах

Будьте любезны. Укажите строку сего софта, которая тырит пароли. Там ведь всё открыто и можно просмотреть. Вы ведь потому это пишете, что просмотрели код батников, верно?

Зачем спорить, у каждого своя правда. Если вы ставите пиратский софт например новый фотошоп, или майкрософт офис, включенный антивирус будет каждый раз сносить. Если вы разработчик вы будите каждый раз материться когда в очередной раз при установки библиотеки или пакета, ваш файл пометят, как потенциально опасный.
А с другой стороны если на компе одни игрушки из steam [зачем] его выключать? Там в принципе ничего блокироваться не будет.
Я лично предпочитаю отключать все руками, я хотя бы знаю что и как я отключаю, и что отключуть у меня требует устанавливаемая программа, например когда она требует отключать защиту ядра у меня возникают вопроса, а зачем? Ну и ставить себе чужой софт, при этом если ты не понимаешь чего он делает, и это связано с политиками безопасности, это давать полный доступ к своей машине. Сегодня он никому не интересен, а завтра вы окажетесь частью ботнета или с вашей почты будут рассылать спам.

zz13 писал(а):

это задокументированный факт, речь не про один из первых, а само появление вирусов как факта для продвижения продаж антивирусов. авторы антивирусов спутя лет 20 сознались что они сами писали вирусы чтобы принудить людей покупать антивирусы.

Эта хохма ходит в сети уже много лет. Но никто не может подтвердить документально, кто же из создателей антивирусных продуктов "сознался" и где. А вот кто обслуживает компьютеры, занимается их обслуживанием всерьез и восстанавливает систему и данные после заражения, хорошо знают и историю вирусописания, и появление антивирусных продуктов и их развитие, кто и зачем, в каких целях пишет "вирусы" и другое вредоносное и хакерское ПО, некоторые сами этим занимались ранее, общались на закрытых ресурсах. И им смешно, что подобные фантазии вообще могут родиться в чьей-то голове.
Да, антивирус - коммерческий продукт, да, бесплатные версии этих продуктов больше реклама, чем "благотворительность". Но создателям этих продуктов нет необходимости самим писать вредоносное ПО, чтобы оправдывать и стимулировать продажи своих продуктов. Создание вредоносных продуктов - прибыльный рынок, эти продукты более чем востребованы. Нельзя отметать вероятность, что к созданию некоторых ВП приложили руку бывшие сотрудники компаний по разработке антивирусного ПО, "собаку съевшие" на исследованиях новых "вирусов" и борьбе с ними. Чтобы бороться, нужно хорошо понимать, как они создаются и самим уметь создавать, только тогда это будет эффективный специалист антивирусной кампании.

Какой смысл рассуждать о том, пишут ли вирусы создатели антивирусов?
Доказательств нет ни у кого - одни домыслы. Хотя мотив у них есть и что?
Главное есть факт - вирусы существуют. И факт, что они, как правило, попадаются тем, кто нарушает простые правила. Люди обычно забивают на элементарную безопасность плюс дикая компьютерная безграмотность. (Выводы сделаны не с фонаря - многолетняя практика общения с "одаренными" userами).

elektoral писал(а):

Какой смысл рассуждать о том, пишут ли вирусы создатели антивирусов? Доказательств нет ни у кого - одни домыслы. Хотя мотив у них есть и что?

Cui bono?
Cui prodest?
И у кого есть возможности, а также мотивы?

Так-же как и загадочное появление массы лекарств от жадности для массы программ. В основе которых - всегда утечка.
Кроме как для популяризации этих самых программ и мотивации для покупки нового железа, больше никак объяснить нельзя. Помочь втянуться, распробовать и подсесть.

welln писал(а):

я вам сейчас раскрою страшную тайну майрософт... .......... Это точно лучше чем ставить чужой софт или пользоваться твиками. В первую очередь потому, что вы в любой момент можете все это включить обратно, т.к. оставлять "дырявым" комьютер такое себе.

Плавали. Так не отключить.
Открываем конфиденциальность.. защита.
Вырубаем все, что касается защитника.
Идем в, так известный из 1001 советов по всему инету, раздел групповых политик.
Следуем совету.
Перезагружаем компьютер.
Открываем конфиденциальность, безопасность...
Видим, что реалтайм защита как была включена, так включенной и остается.

При чем, на некоторых хард конфигурациях трюк работает. К примеру, у себя так и сделал - все отключилось.
На ноутбуке, с той же софт конфигурацией (win11 etc) гайд сей не прошел. Антивирь не вырубается ни в какую.