سلام به همه همراهان! در این مقاله همراه میشیم با نیما دباغی، pentester و محقق در زمینه بد افزار ها و باج افزار ها در Hakin تا ببینیم در سال گذشته تا به الان هکرا چطوری میتونستن دسترسی خودشون رو فقط با Windows Defender ارتقا بدن! ما یک آسیب پذیری شدید در Windows Defender را فاش می کنیم که به مهاجمان اجازه می دهد سطح دسترسی را از یک کاربر غیر ادمین افزایش دهند. Windows Defender به طور عمیقی در سیستم عامل ویندوز ادغام شده است و به طور پیش فرض بر روی هر دستگاه ویندوز (بیش از میلیارد دستگاه) نصب می شود. سرویس های ممتاز (دارای دسترسی) در ویندوز یا اجزای ویندوز ممکن است حاوی باگی باشند که افزایش سطح دسترسی را به راحتی ممکن می کند. مهاجمان اغلب از چنین آسیب پذیری هایی برای انجام حملات پیچیده استفاده می کنند. محصولات امنیتی امنیت دستگاه را تضمین می کنند و قرار است از بروز چنین حملاتی جلوگیری کنند، اما اگر محصول امنیتی خود آسیب پذیری ایجاد کند، چه می کنید؟ چه کسی از محافظان محافظت می کند؟ مایکروسافت این آسیب پذیری را در Windows Defender پچ کرد و در فوریه رفع باگ را انجام داد. پیش از رفع این آسیب پذیری، احتمالا به دلیل ماهیت نحوه فعال سازی این مکانیسم خاص، به مدت سال کشف نشده بود. درایور BTR . sys (نام داخلی درایور) بخشی از فرایند اصلاحی در Windows Defender است. این مسیول حذف فایل سیستم و منابع رجیستری ایجاد شده توسط نرم افزار مخرب از حالت کرنل است. در هنگام بارگذاری، درایور ابتدا یک handle در فایل ایجاد می کند که حاوی گزارش فعالیتهای آن هنگام فعال شدن است. همانطور که در زیر می بینید، این مشکل در نحوه ایجاد همان handler از این درایور است. رجیستری rd قبلا با خودش xor شده بود، یعنی شامل صفر است، بنابراین پارامتر CreateDisposition اینگونه ثبت می شود: FILE _ SUPERSEDE . بدین شکل FILE _ SUPERSEDE به عنوان فرایندی در نظر گرفته می شود که ابتدا پرونده اصلی را حذف کرده و سپس فایل جدیدی ایجاد می کند. با هیچ اطمینانی نمی توانید متوجه شوید که این لینک پیوند دهنده است یا خیر. بنابراین، ایجاد پیوند در C : Windows Temp BootClean . log به مهاجمان اجازه می دهد تا پرونده های دلخواه را overwrite کنند. این لینک قرار است به فایلی که می خواهیم مجددا بنویسیم اشاره کند. مثلا: یک hard link ایجاد کنید که به notepad . exe اشاره کند. لودینگ BTR را برای اهداف نمایشی شبیه سازی کنید، که به طور معمول توسط Windows Defender در طی مرحله ویراش های خاص load می شود. برنامه Notepad . exe بازنویسی می شود، PE دیگر معتبر نیست. ماشین هایی که نسخه به روز شده Windows Defender را اجرا می کنند در برابر CVE - - محافظت می شوند. نسخه های اخیر ویندوز ، هنگامی که به روز می شوند، در برابر اکسپلویت های EoP با استفاده از hardlink های native محافظت می شوند. نتیجه البته، گرچه به نظر می رسد از این آسیب پذیری استفاده نشده است، اما مهاجمان احتمالا می فهمند که چگونه می توانند از این در سیستم های بدون پچ استفاده کنند. علاوه بر این، از آنجا که این آسیب پذیری از حدود سال در همه نسخه های Windows Defender وجود دارد، به احتمال زیاد کاربران زیادی در اعمال پچ موفق نخواهند شد و آنها را در معرض حملات آینده قرار می دهد. استفاده از چنین آسیب پذیری برای اجرای کد اغلب مشکل تر است اما غیرممکن نیست. اما این مورد همچنان می تواند برای فعالیتهای مخرب مختلف مانند از کار انداختن محصولات امنیتی مورد استفاده قرار گیرد.