Acaba de ser lançada uma ferramenta complicada para quem usa o Windows. Esta é capaz de desativar o Microsoft Defender, usando uma função criada pela Microsoft para se fazer passar por um antivírus certificado aos olhos do Windows. Com esta tática, pode enganar o antivírus padrão do sistema operativo, abrindo caminho a todo o tipo de abusos.
Um investigador desenvolveu uma ferramenta capaz de desativar o Microsoft Defender, o antivírus padrão dos computadores Windows. Denominada Defendnot, a ferramenta explora a API do Windows Security Center (WSC) para desativar os antivírus sem alertar os mecanismos de segurança do computador.
Obtêm assim o direito de desativar o Microsoft Defender. Quando um antivírus de terceiros é instalado e reconhecido pelo Windows, o Microsoft Defender desativa-se. O sistema operativo está programado para impedir que vários programas antivírus sejam executados em simultâneo. Este cenário pode diminuir o desempenho do computador ou criar conflitos entre programas antivírus.
Ciente dos riscos, a Microsoft desenvolveu uma série de proteções em torno da API do Security Center. A empresa implementou um sistema de proteção que impede que programas não autorizados modifiquem ou espiem processos sensíveis, além de um sistema de assinatura digital. Devem garantir que somente os programas fidedignos, ou seja, programas certificados pela Microsoft, podem ser registados corretamente.
Todas estas proteções foram contornadas e enganadas pela Defendnot. Para tal, introduz o seu código no Taskmgr.exe, o gestor de tarefas do Windows. O truque é usar este programa oficial para enganar o Windows, fazendo-o pensar que é um antivírus real, mas usando um nome falso.
O Defendnot permite ao utilizador escolher o nome do antivírus que pretende exibir no Windows e desativar o registo na Central de Segurança para permanecer indetetável. Por fim, o programa adiciona-se ao agendador de tarefas do Windows para se manter ativo mesmo após o reinício do computador.
Este é apenas um projeto de investigação. A criação da ferramenta, no entanto, mostra como é possível manipular o Windows para remover a segurança do Microsoft Defender. Espera-se que esta falha de design seja eventualmente explorada por cibercriminosos. A falha é causada pela forma como o Windows funciona. Note que o Microsoft Defender é agora capaz de detetar e colocar o Defendnot em quarentena antes que este se comece a disfarçar de antivírus.
Comentários