Όπως αναφέραμε σε προηγούμενη δημοσίευση η Microsoft έχει αφαίρεσε τη δυνατότητα απενεργοποίησης του Microsoft Defender από του Μητρώο των Windows 10.
Από τα Windows Vista, οι χρήστες μπορούσαν να απενεργοποιήσουν πλήρως το Microsoft Defender και ενδεχομένως κάθε άλλου λογισμικού ασφαλείας με τη χρήση του “Turn off Microsoft Defender Antivirus” που υπάρχει στις ρυθμίσεις του group policy.
Όταν είναι ενεργοποιημένη η πολιτική, δημιουργείται μια τιμή μητρώου “DisableAntiSpyware” και ορίζεται σε 1 κάτω από το κλειδί HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender, όπως φαίνεται παρακάτω.
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender] "DisableAntiSpyware"=dword:00000001
Μόλις ενεργοποιηθεί αυτό το κλειδί θα απενεργοποιήσει το “Microsoft Defender Antivirus, καθώς και λογισμικό και εφαρμογές προστασίας από ιούς τρίτων”.
Στην τεκμηρίωση του DisableAntiSpyware, η Microsoft αναφέρει ότι η τιμή DisableAntiSpyware θα αγνοείται και δεν θα χρησιμοποιείται πλέον για την απενεργοποίηση του λογισμικού προστασίας από ιούς.
Η Microsoft αναφέρει επίσης ότι αν ένας χρήστης καταργήσει την εγκατεστημένη λύση προστασίας από ιούς, ο Windows Defender θα ενεργοποιηθεί αυτόματα για να τον προστατεύσει.
“Οι καταναλωτές μπορούν να επιλέξουν να τρέξουν μια άλλη λύση AV, αλλά σν για οποιονδήποτε λόγο η εφαρμογή απενεργοποιηθεί, το Microsoft Defender AV θα ενεργοποιηθεί ξανά για να διασφαλίσει ότι δεν θα υπάρξει κενό προστασίας για τον χρήστη. ”
Γιατί;
Όπως οι διαχειριστές των Windows γνωρίζουν για τις ρυθμίσεις του group policy στο DisableAntiSpyware, τις γνωρίζουν και οι προγραμματιστές κακόβουλου λογισμικού.
Πολλά κακόβουλα προγράμματα (TrickBot, Novter, Clop Ransomware, Ragnarok Ransomware και AVCrypt Ransomware) που έχουν κάνει κατάχρηση αυτής της πολιτικής για να προσπαθήσουν να απενεργοποιήσουν την προστασία από ιούς στα Windows.
Με την κυκλοφορία του Windows 10 1903, η Microsoft πρόσθεσε μια νέα δυνατότητα που ονομάζεται Tamper Protection που αποτρέπει την αλλαγή των ρυθμίσεων του Windows Security και του Microsoft Defender από προγράμματα, εργαλεία γραμμής εντολών των Windows, αλλαγές στο μητρώο ή αλλαγές σε πολιτικές ομάδας.
Έτσι αν ένα κακόβουλο λογισμικό πρόσθετε την τιμή DisableAntiSpyware στο Μητρώο και έπειτα πραγματοποιούσε επανεκκίνηση στον υπολογιστή, κατά την επανεκκίνηση, το Tamper Protection θα αφαιρέσει την τιμή.
Αφού λοιπόν, τώρα το Microsoft Defender αγνοεί εντελώς την τιμή DisableAntiSpyware, οι χρήστες των Windows 10 έχουν πολύ μεγαλύτερη προστασία από απειλές που προσπαθούν να απενεργοποιήσουν το λογισμικό ασφαλείας χρησιμοποιώντας αυτήν την τεχνική.
