Η Microsoft αφαίρεσε τη δυνατότητα λήψης αρχείων μέσω του Windows Defender αφού αποδείχθηκε πώς θα μπορούσε να χρησιμοποιηθεί από εισβολείς για τη λήψη κακόβουλου λογισμικού σε έναν υπολογιστή.
Την περασμένη εβδομάδα, αναφέραμε ότι η Microsoft πρόσθεσε αθόρυβα τη δυνατότητα λήψης αρχείων μέσω του Windows Defender για κάποιο άγνωστο λόγο.
Όταν ανακαλύφθηκε αυτό, η κοινότητα ασφαλείας στον κυβερνοχώρο εξέφρασε τις ανησυχίες της γιατί η Microsoft θα επέτρεπε στον Defender να χρησιμοποιηθεί από τους επιτιθέμενους σαν LOLBIN.
Τα LOLBINs, ή living-off-the-land binaries, είναι νόμιμα αρχεία του λειτουργικού συστήματος που μπορούν να παραβιαστούν για κακόβουλους σκοπούς.
Για να κατεβάσουν ένα αρχείο, οι χρήστες έπρεπε να τρέξουν ένα βοηθητικό πρόγραμμα γραμμής εντολών της υπηρεσίας Antimalware Microsoft (MpCmdRun.exe) με την εντολή -DownloadFile, όπως φαίνεται παρακάτω.
MpCmdRun.exe -DownloadFile -url [url] -path [path_to_save_file]
Σε δοκιμές που πραγματοποίησαν ερευνητές ασφαλείας, κατάφερνα να κατεβάσουν οτιδήποτε αρχεία (ακόμα και ransomware_, στα συστήματά τους.
Το Windows Defender μπορεί ανιχνεύσει γρήγορα το κακόβουλο λογισμικό, αλλά κάποιο άλλο λογισμικό ασφαλείας δεν θα εντοπίσει τη λήψη που πραγματοποιήθηκε από την εφαρμογή ασφαλείας της Microsoft.
Με την χθεσινή κυκλοφορία του Windows Defender Antimalware Client στην έκδοση 4.18.2009.2-0, φαίνεται ότι η Microsoft άλλαξε τις δυνατότητες του MpCmdRun.exe.
Η Microsoft ουσιαστικά αφαίρεσε τη δυνατότητα λήψης αρχείων μέσω του βοηθητικού προγράμματος γραμμής εντολών MpCmdRun.exe.
Έτσι αν προσπαθήσετε να κατεβάσετε ένα αρχείο χρησιμοποιώντας το MpCmdRun.exe θα εμφανιστεί ένα σφάλμα που θα δηλώνει “CmdTool: Invalid command line argument.”
Επίσης η ρύθμιση της γραμμής εντολών -DownloadFile έχει αφαιρεθεί από την οθόνη βοήθειας (help).
