اخیراً یک پروژه Proof-of-Concept (PoC) با نام BigDiskBuster در گیت‌هاب منتشر شده است که ادعا می‌کند می‌تواند فرآیند به‌روزرسانی پلتفرم و امضاهای امنیتی (Security Intelligence) در Microsoft Defender را متوقف کند. این قابلیت می‌تواند منجر به ایجاد وضعیت Denial-of-Service (DoS) در مکانیزم به‌روزرسانی شود و در نتیجه، نقاط انتهایی (Endpoints) ویندوز با نسخه‌های قدیمی آنتی‌بدافزار باقی بمانند.
تحلیل فنی و مکانیسم اثر
این پروژه که توسط کاربری به نام MSNightmare منتشر شده، شباهت زیادی به تکنیک شناخته‌شده UnDefend دارد. هدف اصلی این کد، ایجاد اختلال در فرآیندهای به‌روزرسانی Defender است تا سیستم بدون اینکه لزوماً سرویس امنیتی را غیرفعال کند، در برابر تهدیدات جدید آسیب‌پذیر شود.
- زبان برنامه‌نویسی: این ابزار به‌طور کامل با C++ نوشته شده است.
- تاثیر بر شناسایی: با مسدود کردن به‌روزرسانی‌های پلتفرم و امضاها، مهاجم می‌تواند از تکنیک Defense Evasion استفاده کند تا بدافزارهای جدید که پیش‌تر شناسایی شده‌اند، توسط Defender شناسایی نشوند.
- دامنه اثر: طبق ادعای نویسنده، این متد روی تمامی نسخه‌های پشتیبانی شده ویندوز کار می‌کند، هرچند که کد فعلی نیاز به بازنویسی و بهینه‌سازی دارد.
ریسک‌های عملیاتی برای سازمان‌ها
در محیط‌هایی که Microsoft Defender به عنوان لایه اصلی دفاع در Endpoint قرار دارد، این تهدید بسیار جدی است. مهاجمان می‌توانند پس از دسترسی اولیه به سیستم (از طریق سرقت اعتبارنامه‌ها یا اکسپلویت‌های محلی)، این کد را اجرا کنند تا مسیر شناسایی فعالیت‌های بعدی خود را هموار سازند.
تا این لحظه هیچ CVE رسمی برای این مورد صادر نشده و مایکروسافت نیز تاییدیه رسمی مبنی بر وجود این آسیب‌پذیری منتشر نکرده است. با این حال، نبود CVE به معنای بی‌خطر بودن این تکنیک نیست.
توصیه‌های امنیتی برای مدیران SOC و مهندسین امنیت
برای مقابله با این نوع تهدیدات، تیم‌های امنیتی نباید تنها به «در حال اجرا بودن» سرویس Defender اکتفا کنند. توصیه‌های زیر پیشنهاد می‌شود:
- مانیتورینگ سلامت به‌روزرسانی‌ها: بررسی دقیق تاریخچه به‌روزرسانی‌های Security Intelligence در تمامی Endpointها و شناسایی سیستم‌هایی که شکاف زمانی غیرعادی در آپدیت دارند.
- فعال‌سازی Tamper Protection: فعال کردن قابلیت‌های ضد دستکاری برای جلوگیری از تغییرات غیرمجاز در پیکربندی‌های Defender.
- تحلیل رفتاری: نظارت بر پروسه‌های مشکوکی که از دایرکتوری‌های قابل نوشتن توسط کاربر (User-writable directories) اجرا می‌شوند.
- مدیریت متمرکز: استفاده از ابزارهای مدیریت متمرکز برای تایید Compliance به‌روزرسانی‌ها در سطح شبکه.
