Притворись антивирусом — и система сдастся: как обмануть Windows в два клика

Новый инструмент под названием Defendnot, свободно распространяемый на GitHub, способен полностью отключать Microsoft Defender на устройствах Windows, маскируясь под антивирусное программное обеспечение. Основной приём — использование нестандартного механизма в Windows Security Center (WSC), предназначенного для регистрации антивирусов. Когда система считает, что на компьютере уже есть установленный антивирус, встроенный Defender автоматически отключается, чтобы избежать конфликтов. При этом, по факту, никакой другой антивирус в систему не устанавливается — это всего лишь уловка для отключения встроенной защиты.



Этой особенностью и воспользовался автор Defendnot, известный под псевдонимом es3n1n. Он создал библиотеку, которая формально соответствует требованиям WSC и успешно проходит проверки Windows. Таким образом, поддельный антивирус регистрируется как легитимный, и Microsoft Defender без лишних вопросов отключает защиту в реальном времени.

Предшественником Defendnot был проект под названием no-defender , в котором использовался код настоящего антивируса для регистрации через WSC. Однако после того, как тот антивирусный вендор подал жалобу по DMCA, проект пришлось удалить с GitHub. Новый инструмент избежал аналогичных проблем: он построен полностью с нуля и использует фиктивную DLL, не нарушающую авторских прав.

Microsoft Defender немедленно отключается. При этом на устройстве не остаётся никакой активной защиты, что делает его уязвимым для любых атак. Для удобства атаки и устойчивости в системе Defendnot использует планировщик заданий Windows Task Scheduler — фальшивый антивирус будет автоматически запускаться при каждой загрузке системы.

В комплекте с инструментом идёт загрузчик, который позволяет передавать настройки через файл «ctx.bin»: можно указать имя отображаемого антивируса, отключить регистрацию и включить подробный лог.

Несмотря на то, что автор позиционирует проект как исследовательский, он ярко демонстрирует, как уязвимы даже доверенные компоненты системы безопасности при определённом уровне доступа и манипуляций.

В настоящее время Microsoft Defender начал детектировать и помещать Defendnot в карантин как угрозу под именем «Win32/Sabsik.FL.!ml», что свидетельствует о попытке закрыть канал отключения своей защиты, хотя корневая уязвимость — в самом механизме доверия к зарегистрированному ПО — остаётся без изменений.

Github | BleepingComputer

А чуть позже двери откроет для автора "антивируса"

Полезная штука. Иногда бывает нужно на некоторое время отключить встроенный Microsoft Defender а это - слишком много манипуляций. Потом обратно его подключай. А тут, судя по описанию, чик! И готово!

Для многих полезная статья , для быстродействия W .

Я выпиливаю Defender еще при создани сборки .
Вредная и без пользы программа .

Программы для настройки быстродействия Windows и отключения бесполезных программ :
Defender Control
O&O ShutUp10/11
Destroy Windows 10/11 Spying
Win 10/11 Tweaker

После переустановки Винды спокойно отключаю Microsoft Defender через gpedit и regedit...

vovanmen писал(а):

Для многих полезная статья , для быстродействия W . Я выпиливаю Defender еще при создани сборки . Вредная и без пользы программа .

А можно поинтересоваться, какой антивирус вы ставите? Касперский?

EMIAS писал(а):

А чуть позже двери откроет для автора "антивируса"

Открытый исходник, бери и смотри что он и как делает, а после изучения кода собери самостоятельно.

Дефендер очень хорош для неопытных пользователей. Я как то написал батник, который копирует файлы паролей и кук хрома и вставляет их рядом с батником. На следующие сутки батник начал детектится как вирус.

тестировал сегодня тоже в новых версиях своих сборок отключаю антивирус и обновления .
кому нужно сам включит обои приложение.

sir.Adler писал(а):

Открытый исходник, бери и смотри что он и как делает, а после изучения кода собери самостоятельно.

Ну да, ну да. Его же все с гитхаба качать будут, лол. И все программисты.

я вам сейчас раскрою страшную тайну майрософт... без каких либо проблем отключаете в настройках безопасности антивирус и все что с ним связано, затем запускаете gpedit.msc, затем в административных шаблонах отключаете окончательно включая запуск - автозапуска антивируса (там   такая есть которая его обратно включает) это гарантировано выпиливает всю защиту и не требует установки чужих программ.



Это точно лучше чем ставить чужой софт или пользоваться твиками. В первую очередь потому, что вы в любой момент можете все это включить обратно, т.к. оставлять "дырявым" комьютер такое себе.

предпочитаю вырезать защитника с потрохами сразу же после установки винды

griever41269
и найти свой пароль в слив базах

mobile-nnm
увы, но нет)
не имею привычки запускать подозрительные файлы из инета, предварительно не проверив их на virustotal

Прекрасные комментарии !!!
Есть ещё и совсем простые способы на время отключить просто часть функций Defender и спокойно установить что хочется.